4

В Ability.rb ограничение накладывается над действиями в модели. А как ограничить доступ к экшенам контроллера?

3 ответа 3

2

CanCan ограничивает доступ именно к action'ам контроллеров. Есть другой проект, heimdallr, который ограничивает доступ именно при доступе к модели.

Пример для CanCan

ability.rb:

class Ability
  include CanCan::Ability

  def initialize(user)
    return if user.nil?

    if user.role? :admin
      can :manage, :all
      # ...
    end

    if user.role? :moderator
      can :manage, Post
      can :index, User
      # ...
    end

    # user
    can :create, Post
    # ...
 end

контроллер:

class PostsController < ApplicationController
  before_filter :authenticate_user!

  def index
    authorize! :index, Post
    # ...
  end
end

и, RTFM

1

before_filter? Вот здесь есть что то похожее, оно?:

#models.ability.rb
def initialize(user)
 #код

   if user.role?(:user)
        can :get_tags, Post

 #код
end
...
#config/routes.rb
resources :posts do
  #....

   post :get_tags, :on => :collection
end

Вы честно не пользовались поиском, или не можете понять что искать?

Вот начал читать про канкан, всё намного интереснее. Похоже что в рамках идеологии канкана без костылей не получиться правильно ограничить доступ к акшену.

Вам точно надо это делать через канкан?

UPD Хотя это вроде то что надо, хотя не вижу тут принципиального отличия от before_filter

2
  • Нужно ограничить по ролям, фильтр не пойдет, нужно через Ability.rb
    – mrNode
    25 июл 2012 в 13:33
  • Так дело в том что для ограничения надо создать ресурс для контроллера и модель для ресурса, а мне нужно ограничить к контроллеру не имеющего ресурса (в роутинге) и модели. Думаю что придется использовать встроенную функцию devise для ограничения в контроллерах использовать, а хотелось что бы всеми доступами из одного файла контролировать. P.S Спасибо.
    – mrNode
    25 июл 2012 в 17:11
0

В cancan по умолчанию накладывается ограничение на экшны контроллера, который завязан на модель (RESTful архитектура), поэтому класс, либо экземпляр класса используются для авторизации.
Поскольку в рассматриваемом случае не используется RESTful парадигма, то надо объявить доступ в Ability и авторизовать его в контроллере:

#ability.rb
class Ability
  include CanCan::Ability
  def initialize(user)
    can :read, :home if user.has_role?(:home_reader)
  end
end

# home_controller.rb
class HomeController < ApplicationController
  def index
    authorize! :read, :home
  end 
end

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.