Rails API / Pundit: Сильные параметры с ActiveModelSerializer - PullRequest
Новая
       46

Rails API / Pundit: Сильные параметры с ActiveModelSerializer

0 голосов
/ 25 октября 2019

В этом разделе раздела Pundit сказано, что мы можем контролировать, какие атрибуты разрешено обновлять. Но это не работает в случае использования active_model_seriallizers gem: 

def post_params
  # originally geneated by scaffold
  #params.require(:post).permit(:title, :body, :user_id)

  #To deserialize with active_model_serializers
  ActiveModelSerializers::Deserialization.jsonapi_parse!(
        params,
        only: [:title, :body, :user]
      )
end

Если я изменю действие PostsController update, как предложил Pundit: 

def update
  if @post.update(permitted_attributes(@post))
    render jsonapi: @post
  else
    render jsonapi: @post.errors, status: :unprocessable_entity
  end
end

это не удастся сошибка: 

ActionController::ParameterMissing (param is missing or the value is empty: post):
app/controllers/posts_controller.rb:29:in `update'

Я также создаю PostPolicy следующим образом: 

class PostPolicy < ApplicationPolicy
  def permitted_attributes
    if user.admin? || user.national?
      [:title, :body]
    else
      [:body]
    end
  end
end

, но это не влияет на вышеуказанную ошибку.

Любое представление о том, какмы можем сделать это?

1 Ответ

0 голосов
/ 28 октября 2019

Решение, к которому я пришел (спасибо @max за некоторые советы и подсказки) заключается в следующем:

  1. Добавьте следующую строку в config/application.rb: 
config.action_controller.action_on_unpermitted_parameters = :raise
Добавьте rescue_from либо к AplicationController, либо к тому, который вас точно интересует: 
class ApplicationController < ActionController::API
  include ActionController::MimeResponds
  include Pundit

  rescue_from Pundit::NotAuthorizedError, ActionController::UnpermittedParameters, with: :user_not_authorized

...
private

def user_not_authorized
    render jsonapi: errors_response, status: :unathorized
  end

  def errors_response
    {
      errors:
      [
        { message: 'You are not authorized to perform this action.' }
      ]
    }
  end
end

Затем добавьте метод pundit_params_for к PostsController и измените update действие (в моем случае я хотел бы ограничить некоторые атрибуты только в update действие :) 

class PostsController < ApplicationController
...

def update
  if @post.update(permitted_attributes(@post))
    render jsonapi: @post
  else
    render jsonapi: @post.errors, status: :unprocessable_entity
  end
end

private
  def post_params
     ActiveModelSerializers::Deserialization.jsonapi_parse!(
       params,
       only: [:title, :body, :user]
     )
    end

  def pundit_params_for(_record)
    params.fetch(:data, {}).fetch(:attributes, {})
  end
end

Вуаля. Теперь, если для действия update будет представлен недопустимый атрибут, ответ будет иметь статус 500 и содержать ошибку, указанную в ApplicationController#errors_response method.

Надеюсь, это поможет.

...