Rails Cancan - 如何限制用户访问自定义 URL 路由

Question

我有一个自定义路由设置，在 url 中有一个 location_id（见下文）

resources :menu_items, :path => "/location_menu/:location_id"

所以当我点击 /location_menu/1 时，它会显示 location_1 的菜单，/location_menu/2 会显示 location_2 的菜单，等等。

每个用户都关联到多个位置 (has_many :locations)

我正在尝试使用 cancan 来限制用户查看某些 menu_item URL。

例如： 用户 1 与位置 1 和 2 相关联。因此他们只能查看页面 /location_menu/1 和 /location_menu/2。但他们将无法查看/location_menu/3。

我在我的控制器中创建了一个自定义方法作为 before_filter：

before_filter :location_check
 ... 
def location_check
  @location = Location.find(params[:location_id])
  authorize! :see_location, @location
end

在我的ability.rb中

can :see_location, MenuItem do |location| location && user.location_ids.include?(location.id) end

由于某种原因，这对我不起作用。我可能做错了什么？如果你们能帮助我，我将不胜感激！

谢谢。

Answer 1

在ability.rb中检查一次，

user.location_ids.each do |l|
  can :view, MenuItem, location_id: l
end

Answer 2

首先，我没有看到您从定义自定义路由而不是嵌套资源中获得什么好处，但它看起来像是在夸大您的域语言并导致任何特定资源可以被多个引用的情况不同的名称 - 这可能会变得非常混乱，现在值得简化。

在您的location_check 方法中，您在Location 实例上授权see_location，但是您向我们展示的Ability 类的部分涉及MenuItem 类。试着像这样定义你的能力：

can :see_location, Location, id: user.location_ids

编辑

如果您需要一个 cancan 操作来直接授权 MenuItems，请尝试以下操作（假设 MenuItem 上的 belongs_to :location 关系）：

can :view, MenuItem, location_id: user.location_ids

至于你的路线，想得更简单。你只需要这个：

resources :location_menus

...然后与此相关的所有内容都放入LocationMenusController。不要担心没有同名的模型 - 您仍然可以使用 Location.find(params[:id]) 查找您的位置。据我了解，位置菜单页面的所有内容都取决于当前用户对特定位置的访问，因此您可以将LocationMenu 视为一种围绕Location 的虚拟资源。