限制用户访问巫术

时间:2015-05-16 20:24:58

标签: ruby-on-rails sorcery

我有一个带魔法的铁道应用程序 一切正常。
问题是在编辑用户时如下:
    http://localhost:3000/users/1/edit
它的工作正常,但是当我将用户ID更改为2或3时 我可以更新所有用户数据
如果当前用户是登录的用户

,我该如何限制编辑页面

这是我的控制器:

skip_before_action :require_login, only: [:new, :create, :show]

def new
 @user = User.new
end

def create
@user = User.new(user_params)
if @user.save
  auto_login(@user)
  flash[:info] = "Welcome."
  redirect_to root_url
else
  render 'new'
end
end

def edit
  @user = User.find(params[:id])
end

def update
@user = User.find(params[:id])
if @user.update_attributes(user_params)
  flash[:success] = "Profile updated"
  redirect_to @user
else
  render 'edit'
end
end

def show
 @user = User.find(params[:id])
end

private

def user_params
 params.require(:user).permit(:email, :password, :password_confirmation)
end  

2 个答案:

答案 0 :(得分:1)

你也可以做这样的事情

before_action :edit_rights?, only: [:update, :edit]

private
def edit_rights?
  @user = User.find(params[:id])
  redirect_to(root_path) unless current_user == @user
end

您在@user = User.find(params[:id])update行动中都不需要edit

答案 1 :(得分:0)

至少有两种方法可以做到这一点。第一个和直接的在另一个答案中详细说明,微调你的控制器。

一种不那么明显的方法是创建一个单一资源和它自己的控制器。在看似如下的路线中:

resource :profile, only: [:show, :edit, :update]
# generates:
# /profile (GET, PATCH, PUT)
# /profile/edit (GET)

然后创建一个仅对用户自己的个人资料负责的控制器,并且仅在current_user上运行。

是的,如果您的模型在应用的不同部分表现得非常不同,那么一个模型可以拥有多个控制器。

你为什么这样做?

  • 用户自己的个人资料可能会显示比公开信息更多的信息,您可以在单独的视图中列出
  • 没有“拒绝访问”错误,因为资源是通过current_user自动选择的,您只需确保用户登录整个控制器。