在控制器的 before_action 中访问资源的“rails 方式”是什么

Question

我正在使用 Pundit 来授权我的控制器中的操作。我的第一次尝试是在 after_action 挂钩中授权模型：

class CompaniesController < InheritedResources::Base
  after_action :authorize_company, except: :index

  def authorize_company
    authorize @company
  end

这让我可以使用定义@company 的默认控制器操作，这样我就不会两次访问数据库。但是，这对于破坏性操作是不利的，因为它不会在我已经搞砸数据库之后授权该操作。

所以，我改为使用before_action 钩子：

class CompaniesController < InheritedResources::Base
  before_action :authorize_company, except: :index

  def authorize_company
    @company = Company.find(params.require(:id))
    authorize @company
  end

现在，我不允许未经授权的人删除资源等...但是我两次访问数据库。无论如何访问@company而不访问数据库两次？

Answer 1

由于您要求使用“rails 方式”，因此您将在没有InheritedResources 的情况下在“普通旧导轨”中进行设置。

class CompaniesController < ApplicationController
  before_action :authorize_company, except: [:new, :index]

  def new
    @company = authorize(Company.new)
  end

  def index
    @companies = policy_scope(Company)
  end

  # ...

  private

  def authorize_company
    @company = authorize(Company.find(params[:id]))
  end
end

如果你真的想要使用回调，你可以这样做：

class CompaniesController < ApplicationController
  before_action :authorize_company, except: [:new, :index]
  before_action :authorize_companies, only: [:index]
  before_action :build_company, only: [:new]

  # ...

  private

  def authorize_company
    @company = authorize(Company.find(params[:id]))
  end

  def authorize_companies
    @companies = policy_scope(Company)
  end

  def build_companies
    @company = authorize(Company.new)
  end
end

是的，您可以编写一个包含三个代码分支的回调方法，但这具有较低的循环复杂度，并且每个方法只完成一项工作。

Answer 2

如果模型存在，rails 控制器有一个resource，对于new 之类的操作，则有一个build_resource。

class CompaniesController < InheritedResources::Base
  before_action :authorize_company, except: :index

  private

    def authorize_company
      authorize resource
    rescue ActiveRecord::RecordNotFound
      authorize build_resource
    end
end