Rails 3 Identyfikacja ActiveRecord na podstawie uprawnień użytkownika

Question

Przerzucam kod z aplikacji wbudowanej w niestandardowy niestandardowy framework PHP do Ruby on Rails (wersja 3). W wersji PHP wszystkie kontrolery są naprawdę grube, z cienkimi modelami, z którymi zawsze się nie zgadzałem, więc cieszę się z tego, jak Rails dokonuje walidacji na poziomie modelu, co prawdopodobnie stanowi 90% tego, co dzieje się w tych kontrolerach tłuszczu. obecnie.

Jednym z problemów, przed którymi stoję, i nie wiem, jak rozwiązać, jest jednak to, że różne zasady sprawdzania poprawności zależą od tego, kto dokonuje zmiany modelu. Na przykład administrator lub oryginalny twórca rekordu powinien móc np. Oznaczyć rekord jako usunięty (usuwanie miękkie), podczas gdy wszyscy inni nie powinni.

class Something < ActiveRecord::Base 
    ... 
    validates :deleted, :owned_by_active_user => true 
    ... 
end 

class OwnedByActiveUserValidator < ActiveModel::EachValidator 
    validate_each(record, attr_name, attr_value) 
    # Bad idea to have the model know about things such as sessions? 
    unless active_user.admin? || active_user.own?(record) 
     record.errors.add :base, "You do not have permission to delete this record" 
    end 
    end 
end 

Ponieważ sam model (w teorii) nieświadomy użytkownik, który sprawia, że ​​zmiany, co jest „Szyny drogę” do zrobienia tego typu rzeczy? Czy powinienem ustawić aktywnego użytkownika jako wirtualny atrybut w rekordzie (w rzeczywistości nie zapisany w DB), czy powinienem po prostu wykonać te kontrole w kontrolerze? Muszę przyznać, że posiadanie uprawnień do sprawdzania modelu na aktywnym użytkowniku wydaje się dziwne i zwiększa złożoność, jeśli chodzi o testowanie modelu.

Jednym z powodów, dla których chciałbym zachować jak najwięcej z tego modelu, jest to, że chcę zapewnić zarówno interfejs API (dostępny przez OAuth), jak i stronę internetową, bez duplikowania zbyt wielu kodów, takich jak te rodzaje kontroli uprawnień.

Answer 1

Jest to naprawdę zadanie kontrolera do obsługi autoryzacji lub delegowania uprawnień do warstwy autoryzacji. Modele nie powinny wiedzieć o tym, kto jest aktualnie zalogowany i jakie są jego uprawnienia, ani nie muszą się tym przejmować - to jest zadanie kontrolera lub jakiejkolwiek warstwy pomocniczej, którą kontroler przekazuje.

Należy dokonać :deleted in- attr_accessible do masowego przypisania poprzez new, create lub update_attributes. Kontroler powinien sprawdzać autoryzację uwierzytelnionego użytkownika oddzielnie i zadzwonić pod numer deleted= osobno, jeśli uwierzytelniony użytkownik jest uprawniony.

Istnieje kilka bibliotek autoryzacji i frameworków, które pomagają w autoryzowaniu lub działają jako warstwa autoryzacji, na przykład cancan.

Answer 2

Rozwiązałbym to z before_filter w moim kontrolerze, zamiast z walidacjami w moim modelu.

class SomethingController < ApplicationController 
    before_filter :require_delete_permission, :only => [:destroy] 

    def destroy 
    # delete the record 
    end 

    private 

    def require_delete_permission 
    unless current_user.is_admin || record.owner == current_user 
     flash[:error] = 'You do not have delete permissions' 
     redirect_to somewhere 
    end 
    end 
end 

Answer 3

Natrafiłem na ten sam problem w Rails 2.3 i na końcu wymyślono to rozwiązanie. W swoim modelu definiujesz pewien atrybut, w zależności od tego, który włączasz/wyłączasz sprawdzanie poprawności. Niż ty kontrolą ustawić ten atrybut w zależności od daty dostępnego do regulatora (np uprawnieniami użytkowników w danym przypadku) w następujący sposób:

Class Model < ActiveRecord::Base 
    attr_accessor :perform_validation_of_field1 #This is an attribute which controller will use to turn on/off some validation logic depending on the current user 

    validates_presence_of :field1, :if => :perform_validation_of_field1 
    #This validation (or any similar one) will occur only if controller sets model.perform_validation_of_field1 to true. 
end 

Class MyController < ActionController::Base 
    def update 
    @item = Model.find(params[:id]) 
    @item.update_attribute(params[:item]) 

    #The controller decides whether to turn on optional validations depending on current user privileges (without the knowledge of internal implementation of this validation logic) 
    @item.perform_validation_of_field1 = true unless active_user.admin? 

    if @item.save 
     flash[:success] = 'The record has been saved' 
     redirect_to ... 
    else 
     flash.now[:error] = 'The record has not passed validation checks' 
     render :action => :edit 
    end 
    end 

Myślę, że w Rails 3 można to zrobić w podobny sposób.