使用权威解析方法的嵌套资源范围

Question

我指的是我自己的问题Rails Nested Resources with Pundit Allowing Index 并最终提出了一个可行的解决方案，但是在 property_policy 中定义 scope.where(?) 或 scope.select(?) 没有更好的解决方案吗？如何使用权威解析方法获取仅属于一个特定交易的所有属性？

我最终做了什么：

properties_controller.rb

class PropertiesController < ApplicationController
before_action :set_deal, except: [:index, :all]
before_action :set_property, only: [:show, :edit, :update, :destroy]

def all
  @properties = Property.all
  authorize @properties
end

def index
  @deal = Deal.find(params[:deal_id])
  @properties = policy_scope(Deal)
end

def set_deal
  @deal = Deal.find(params[:deal_id])
  # pundit ######
  authorize @deal
  ###############
end
(...)
end

property_policy.rb

class PropertyPolicy < ApplicationPolicy
class Scope < Scope
def resolve
  scope.all if user.admin?
end
def all?
  user_is_admin?
end
def user_is_admin?
  user.try(:admin?)
end 
(...)
end

我想要更好的：

properties_controller.rb

def index
  @deal = Deal.find(params[:deal_id])
  @properties = policy_scope(Property) # => for # @properties = @deal.properties
  authorize @deal
end

在 property_policy.rb 中类似

def resolve
  # scope.where(???) if user.admin? # only an admin user can see the @deal.properties
  # or any other solution using scope
 end

提醒一下，1 个交易有许多属性，1 个属性属于一个特定交易。我的路线是嵌套交易/id/properties，除了我有简单的“/properties”的完整属性列表。非常感谢您的帮助。

** 更新 **

我终于去了

properties_controller.rb

def index
  @deal = Deal.find(params[:deal_id])
  @properties = policy_scope(@deal.properties)
  authorize @properties, :index?
end

在property_policy.rb中

class PropertyPolicy < ApplicationPolicy
  class Scope < Scope
    def resolve
      user.admin? ? scope.all : scope.none
    end
  end
  def index?
    user_is_admin?
  end
  def user_is_admin?
    user.try(:admin?)
  end
end

不确定是否正确

Answer 1

您想要做的是将范围传递给策略 - 而不仅仅是一个类。

@properties = policy_scope(@deal.policies)

class PropertiesPolicy
  class Scope < Scope
    def resolve
      user.admin? ? scope.all : scope.none
    end
  end
end

您的控制器的另一个问题是authorize @deal 将调用DealsPolicy#index?，这不是您想要的。

要授权您想使用模型类（而不是实例）调用authorize 的索引操作：

def index
  authorize Property # calls PropertiesPolicy#index?
  @deal = Deal.find(params[:deal_id])
  @properties = policy_scope(@deal.policies)
end

在这种情况下，您实际上不必在 Scope#resolve 方法中做任何特别的事情。只需返回 scope，因为此时您可以假设用户是管理员。