ruby on rails - manage - CanCan: limita la capacidad de un usuario para establecer ciertos atributos de modelo en función de su función

roles rails

Question

Tengo un modelo de publicación con un atributo :published ( booleano ) y un modelo de usuario con un atributo de role ( cadena ). Hay tres roles: ROLES = %w[admin publisher author]

No quiero que los usuarios cuyo rol es autor sean capaces de configurar o editar el campo :published en el modelo de publicación.

Estoy usando CanCan (y la gema RailsAdmin) y mi archivo Ability.rb simplificado se ve así:

class Ability
include CanCan::Ability
def initialize(user)
user ||= User.new
if user.role? :admin
can :manage, :all
elsif user.role? :publisher
can :manage, Post
elsif user.role? :author
# I want to prevent these guys from setting the :published attribute
end
end
end

¿Alguien tiene algún consejo para hacer este tipo de cosas?

Answer 1

Echa un vistazo a esta publicación: ¿Cómo uso CanCan con el administrador de Rails para verificar la propiedad?

Muestra cómo hacer que un campo no sea visible en función de la función de un usuario.

ACTUALIZACIÓN Pude establecer opciones en el administrador de rieles con este código:

config.model User do
edit do
configure :organization do
visible do
bindings[:view]._current_user.max_role_name != ''admin'' ? false : true
end
end
configure :organization_id, :hidden do
visible do
true if bindings[:view]._current_user.max_role_name != ''admin''
end
default_value do
bindings[:view]._current_user.organization_id if bindings[:view]._current_user.max_role_name != ''admin''
end
end
include_all_fields
end
end

Esta configuración ocultará el campo de organización si el usuario que inició sesión no es un administrador. A continuación, mostrará un campo de ID de organización (establecido en type = ''hidden'') y establecerá el valor predeterminado.

Espero que esto ayude a alguien.

Answer 2

Hasta ahora no es posible. Pero de acuerdo con esto: https://github.com/ryanb/cancan/issues/326 esta característica debería estar en Cancan 2.0.

Actualización: puede ver esto en la sucursal de CanCan 2.0 aquí: https://github.com/ryanb/cancan/tree/2.0 en la sección "Atributos de recursos"

Answer 3

Hasta que sale CanCan 2.0, resolví esto creando una subclase del modelo con accesibilidad restringida, algo como:

class AuthorPost < Post
attr_protected :published
end

Y luego dé a los autores acceso a AuthorPosts: can :manage => AuthorPost

Luego, en su controlador, puede configurar el recurso que desea en un before_filter:

before_filter :set_resource
...
private
def set_resource
if current_user and current_user.author?
@resource = AuthorPost
else
@resource = Post
end
params[:post] ||= params[:author_post]
end

Una última advertencia: no podrá usar load_and_authorize_resource en ese controlador. Tendrá que hacerlo manualmente, como se detalla aquí: https://github.com/ryanb/cancan/wiki/Controller-Authorization-Example

Tendrá que reemplazar el Project con @resource .

Estoy en la cerca de si esto es más o menos efectivo que el método descrito en el railscast. Para mis propósitos, dejó el modelo original totalmente intacto, por lo que mi otro código no se vio afectado, y me permitió dar a algunos usuarios menos campos editables.

Answer 4

Hay una manera, hice algo como esto en mi proyecto. Pero CanCan no es del todo la respuesta. Lo que debe hacer es hacer que attr_accessible en su modelo sea dinámico según la función del usuario, por lo que si es un administrador, entonces puede actualizar el campo publicado. Si no, entonces al darle un nuevo valor al campo simplemente no se tomará cuando el modelo se guarde.

Railscasts viene al rescate una vez más: http://railscasts.com/episodes/237-dynamic-attr-accessible

Luego de implementar la parte de fondo de eso, entonces puede hacer algo al respecto en el formulario de frontend envolviendo el campo de publicación en la Vista con una verificación de roles o algo para mostrar u ocultar el campo según el usuario. Buen ejemplo de mi implementación ...

<% if current_user.roles.where(:name => [''Administrator'',''Editor'']).present? %>
<%= f.label :display_name %>
<%= f.text_field :display_name %>
<% end %>