Настройка Devise, чтобы разрешить редактирование только собственных записей?

Question

Devise работает в моем приложении на Rails, но я не могу понять, как теперь заблокировать его, чтобы пользователь мог редактировать только свою собственную запись в таблице пользователей И в таблицах, принадлежащих пользователю.

Что мне здесь не хватает? Это сделано в контроллере или модели?

Answer 1

Я бы создал помощника в application_controller для current_user и исключил бы использование User.find

Самый простой способ создания авторизации - с логическим флагом (admin true /ложный).Другими простыми решениями являются канканы, о которых упоминает Яннис, или easy_roles KISS рекомендуется начинать с.Вы можете реализовать действие редактирования следующим образом:

def edit
 if current_user.is_admin?
   User.find(params[:id])
 else
    current_user
 end
end

application_controller.rb

def current_user
  UserSession.find
end

Чтобы ограничить доступ для пользователя, например, для пользователя, имеющего собственные задачи, сделайте это.

def index
  @tasks = current_user.tasks
end

Answer 2

Devise - это решение для аутентификации. Теперь вам нужна система авторизации. Посмотрите на Ryan Bates CanCan ( github , railscasts ).