Rails 5：用户通过 Pundit 权限表创建记录的权限

Question

在我的应用程序中，我有权限表，其中存储了用户可以执行的所有逻辑。 如果权限表允许，我希望通过 Pundit 允许用户创建新的活动。如果权限表包含此信息，用户可以访问活动并创建新的：

• permitable_type: Sysmodule // 我存储系统部分信息的另一个表，其中 Campaigns 是其中之一
• permitable_id: 2 // 表示来自 Sysmodule 的活动
• 级别：3 // 表示用户可以在广告系列部分编辑内容

到目前为止，我一直收到错误“Pundit::NotDefinedError”，无法找到 nil 的策略，policies/application_policy.rb 是标准的，没有变化。 显然我做错了什么。如何正确进行此授权？非常感谢您的帮助！我在 Rails 5 + Pundit 上。

models/permission.rb

class Permission < ApplicationRecord
  belongs_to :permitable, polymorphic: true
  belongs_to :user
  enum level: {owner: 1, view: 2, edit: 3}
end

models/user.rb

has_many :permissions
has_many :campaigns, through: :permissions, source: :permitable, source_type: 'Campaign' do
  def owner_of
  where('`permissions`.`level` & ? > 0', Permission::owner )
  end
end

has_many :sysmodules, through: :permissions, source: :permitable, source_type: 'Sysmodule' do
  def can_access
  where('`permissions`.`level` & ? > 1', Permission::can_access )
  end
end

控制器/campaigns_controller.rb

def new
  @campaign = Campaign.new
  authorize @campaign
end

政策/campaign_policy.rb

class CampaignPolicy < ApplicationPolicy
attr_reader :user, :campaign, :permission
  @user = user
  @permission = permission
end
def new?
  user.permission? ({level: 3, permitable_type: "Sysmodule", permitable_id: 2})
end

视图/广告系列/index.html.erb

<% if policy(@campaign).new? %>
</li>
   <li><%= link_to "New campaign", new_campaign_path(@campaign) %></li>
</li>
<% end %>

Answer 1

与其直接处理用户应该拥有的权限，不如试着想想用户在系统中可以拥有哪些角色。

这使得创建映射到现实世界问题的授权规则变得更加容易。

让我们想象一个我们有用户和组的例子。规则如下：

• 任何用户都可以创建群组
• 创建组的用户自动成为管理员
• 群组是私有的
• 只有管理员或成员才能查看群组
• 只有管理员可以修改组

模型：

class User < ApplicationRecord
  rolify 
end

class Group < ApplicationRecord
  resourcify
end

政策：

class GroupsPolicy < ApplicationPolicy

  class Scope < Scope
    def resolve
      scope.with_roles([:admin, :member], current_user)
    end
  end

  def show?
    user.has_role?([:member, :admin], record)
  end

  def index?
    true
  end

  def create?
    true # any user can create
  end

  def new? 
   create?
  end

  def update?
    user.has_role?(:admin, record)
  end

  def edit?
    update?
  end

  def destroy?
    update?
  end
end

控制器

class GroupsController < ApplicationController

  respond_to :html

  before_action :autenticate!
  before_action :set_group!, only: [:show, :edit, :update, :destroy]

  def show
    respond_with(@group)
  end

  def index
    @groups = policy_scope(Group.all)
    respond_with(@groups)
  end

  def new
    @group = authorize( Group.new )
  end

  def create
    @group = authorize( Group.new(group_attributes) )
    if @group.save
      current_user.add_role(:member, @group)
      current_user.add_role(:admin, @group)
    end
    respond_with(@group)
  end

  def edit
  end

  def update
    @group.update(group_params)
    respond_with(@group)
  end

  def destroy
    @group.destroy
    respond_with(@group)
  end

  private 
    def set_group!
       @group = authorize( Group.find(params[:id]) )
    end

    def group_params
       params.require(:group).permit(:name)
    end
end