使用 Ruby on Rails 5，检查 ActiveRecord 结果数组的特定值的有效方法是什么？

Question

在我的应用程序中，我有一个包含 id, account_id, user_id, resource_type, resource_id, and role 列的权限表。使用 Pundit，当用户尝试访问特定资源时，我需要检查许多可能的权限记录，以便他们查看/编辑页面。我正在寻找最有效的方法来获取所有Permissions.where(account_id: params[:account_id] && user_id: current_user.id)，然后循环遍历它们以获得所有可以授予访问权限的值：

is_user_account_owner?
is_user_account_admin?
is_user_resource_moderator?
is_user_parent_resource_admin?
is_user_parent_resource_moderator?
is_user_parent_resource_viewer?
is_user_resource_viewer?

如果这些检查中的任何一个为真，则用户可以查看资源并且不需要进行其余检查。每次页面浏览都会发生这种情况，因此我将不胜感激任何关于如何使这种高效/可扩展的建议，特别是想要一些关于如何在此处实现缓存的建议。

Answer 1

我按照我想要的方式完成了这项工作，而不是像我的问题要求的那样循环浏览查询结果。

由于我的应用程序具有多租户设置，因此 Pundit 必须有权访问在 Params 中指定的 account_id，以便我可以在可能没有记录时在我的 Post#index 等位置进行权限检查传递给 pundit 以从中获取 account_id。

我敢肯定，Tom Lord 很沮丧，我已经使用 Pundits additional context 功能始终传入我的 @account 变量，该变量在 params[:account_id] 的每个请求上设置，current_user上下文：

application_controller.rb：

def pundit_user
  UserContext.new(current_user, @account)
end

政策/user_context.rb：

class UserContext
  attr_reader :user, :account

  def initialize(user, account)
    @user = user
    @account = account
  end
end

政策/application_policy.rb：

class ApplicationPolicy
  attr_reader :request_account, :user, :record

  def initialize(user_context, record)
    @user = user_context.user
    @account = user_context.account
    @record = record
  end

...

因此，现在在我的个人策略中，我可以执行我想要确定 current_user 是否具有任何可以授予对操作的访问权限的任何权限记录以及一个查询：

政策/note_policy.rb：

class NotePolicy < ApplicationPolicy

def index?
    Permission.where({account_id: @account, user_id: user.id}) \
    .where({resource: 'Account', role: :owner}) \
    .or(Permission.where({account_id: @account, user_id: user.id}) \
        .where({resource: 'Account', role: :admin})) \
    .exists?
  end

  def show?
    Permission.where({account_id: record.account_id, user_id: user.id}) \
    .where({resource: 'Account', role: :owner}) \
    .or(Permission.where({account_id: record.account_id, user_id: user.id}) \
        .where({resource: 'Account', role: :admin})) \
    .or(Permission.where({account_id: record.account_id, user_id: user.id}) \
        .where({resource: 'Note', role: :viewer})) \
    .exists?
  end

以及在 notes_controller.rb 中对授权的调用：

  def index
    authorize Note
    @notes = @account.notes.all
  end


  def show
    @note = @account.notes.find(params[:id])
    authorize @note
  end

我敢肯定，这不是最干净的方法，但它确实有效。如果有任何明显的安全问题，我很乐意听取反馈。