基于用户权限的 Rails 3 ActiveRecord 验证

Question

我正在将代码从构建在非标准自定义 PHP 框架中的应用程序转移到 Ruby on Rails（第 3 版）中。在 PHP 版本中，所有控制器都非常胖，模型很瘦，我一直不同意，所以我很喜欢 Rails 在模型级别进行验证的方式，这可能是这些胖控制器中发生的事情的 90%目前。

我面临的一个问题，但不确定如何解决，是基于谁对模型进行更改而不同的验证规则。例如，管理员或记录的原始创建者应该能够执行诸如将记录标记为已删除（软删除）之类的操作，而其他人则不应该这样做。

class Something < ActiveRecord::Base
  ...
  validates :deleted, :owned_by_active_user => true
  ...
end

class OwnedByActiveUserValidator < ActiveModel::EachValidator
  validate_each(record, attr_name, attr_value)
    # Bad idea to have the model know about things such as sessions?
    unless active_user.admin? || active_user.own?(record)
      record.errors.add :base, "You do not have permission to delete this record"
    end
  end
end

由于模型本身（理论上）不知道进行更改的用户，那么做这种事情的“rails 方式”是什么？我应该将活动用户设置为记录上的虚拟属性（实际上并未保存到数据库），还是应该只在控制器中执行这些检查？我不得不承认，让活动用户的模型检查权限确实感觉很奇怪，并且在测试模型时增加了复杂性。

我热衷于在模型中保留尽可能多的内容的一个原因是，我想同时提供 API（通过 OAuth 访问）和网站，而不需要复制太多代码，例如这些类型权限检查。

Answer 1

处理授权或将授权委托给授权层实际上是控制器的工作。模型不应该知道也不必关心当前登录的人以及他/她的权限是什么——这是控制器的工作，或者控制器委派给的任何身份验证帮助层。

您应该通过new、create 或update_attributes 将:deleted 分配到attr_accessible 中。控制器应该单独检查认证用户的授权，如果认证用户被授权，则单独调用deleted=。

有几个授权库和框架可以帮助授权或充当授权层，例如cancan。

Answer 2

我会在我的控制器中使用 before_filter 来解决这个问题，而不是在我的模型中使用验证。

class SomethingController < ApplicationController
  before_filter :require_delete_permission, :only => [:destroy]

  def destroy
    # delete the record
  end

  private

  def require_delete_permission
    unless current_user.is_admin || record.owner == current_user
      flash[:error] = 'You do not have delete permissions'
      redirect_to somewhere
    end
  end
end

Answer 3

我在 Rails 2.3 中遇到了同样的问题，最后想出了这个解决方案。在您的模型中，您定义了一些属性，具体取决于您打开/关闭验证。您可以根据控制器可用的日期（例如您的情况下的用户权限）设置此属性，如下所示：

Class Model < ActiveRecord::Base
   attr_accessor :perform_validation_of_field1 #This is an attribute which controller will use to turn on/off some validation logic depending on the current user

   validates_presence_of :field1, :if => :perform_validation_of_field1
   #This validation (or any similar one) will occur only if controller sets model.perform_validation_of_field1 to true.
end

Class MyController < ActionController::Base
   def update
     @item = Model.find(params[:id])
     @item.update_attribute(params[:item])

     #The controller decides whether to turn on optional validations depending on current user privileges (without the knowledge of internal implementation of this validation logic)
     @item.perform_validation_of_field1 = true unless active_user.admin?

     if @item.save
        flash[:success] = 'The record has been saved'
        redirect_to ...
     else
        flash.now[:error] = 'The record has not passed validation checks'
        render :action => :edit
     end
   end

我认为在 Rails 3 中可以以类似的方式完成。