允许未经确认的用户访问某些需要身份验证的页面

Question

我将 Rails 堆栈用于

• 设计
• 典狱长
• 已确认

现在我有一些与电子邮件确认和未验证用户访问权限相关的要求。假设有 3 类页面：

1. case 1 - 不需要身份验证。
2. case 2 - 需要身份验证，还需要确认用户。
3. case 3 - 需要身份验证（正确的用户名和密码组合），但无需确认用户即可访问它们。

通过设计和确认，实现case 1 和case 2 轻而易举。用户登录/注册后，我会重定向到“确认您的电子邮件页面”。

我的问题是case 3。假设用户进行他的登录/注册。他尚未确认他的电子邮件地址，但应该被允许访问某些case 3 路线。当他访问案例 3 路线时，我期望：

• 无重定向
• 有效会话

可确认的设计要么允许已确认的用户访问所有页面，要么不允许访问所有页面。它不允许通过身份验证但未经确认访问某些页面。

我尝试通过实现这个逻辑来覆盖设计confirmed?：

class ApplicationController < ActionController::Base
   before_filter :verify_user
   def verify_user
       $flag = true if CERTAIN_ROUTES.include?(action_class)
   end
end

class User < ActiveRecord::Base
   def confirmed?
      $flag || !!confirmed_at
   end
end

这几乎不适用于登录，但不适用于注册。此外，这是实现它的一种非常糟糕的方法。我应该如何解决这个问题？其他功能正常。

Answer 1

您可以只覆盖confirmation_required? 模型方法(docs)，而不是覆盖confirmed?：

# user.rb
class User < ActiveRecord::Base
  protected

  def confirmation_required?
    false
  end
end

之后，您可以自己处理确认逻辑，当控制器需要确认时，通过在 before_action 中重定向所有未确认的用户，或者您可以将其拉入您的授权逻辑（例如使用权威人士）。

class ApplicationController < ActionController::Base
   def needs_confirmation
     redirect_to root_path unless current_user.confirmed?
   end
end

class SomeController < ApplicationController
  before_action :needs_confirmation
end

Answer 2

您应该看看 gem 'pundit' - 它与设计配合得很好。

https://github.com/varvet/pundit

您无需编写控制器 before_actions 等，而是编写涵盖每个授权要求的策略，然后在控制器内部使用这些策略。

例如，在控制器中：

class ExampleController < ApplicationController
    before_action { authorize :example }

    def case_one
       # action
    end

    def case_two
       # action
    end

    def case_three
       # action
    end
end

那么您的策略将保存在 app/policies/example_policy.rb 下

class ExamplePolicy < ApplicationPolicy
  attr_reader :user

  def initialize(user, _)
    @user = user
  end

  def case_one?
    true
  end

  def case_two?
    user.present? && user.confirmed_at.present?
  end

  def case_three?
    user.present?
  end
end

它工作得非常好，尤其是在您确定对某种资源的授权的其他情况下。