Autorisation au niveau du modèle dans Rails

Question

Je souhaite implémenter l'autorisation dans mon application Rails au niveau du modèle (et non du contrôleur), de la même manière que la validation sur les modèles. Quelle est la meilleure façon de procéder?

Si elle est implémentée dans les modèles elle-même, le problème principal est que les modèles n'ont pas accès à l'utilisateur actuel. J'ai vu des solutions comme: Thread.current[:user_id] = session[:user_id], mais cela ne semble pas être une bonne idée.

J'ai vu une approche différente où des variantes des méthodes comme créer, trouver et nouveau sont créées, en acceptant un paramètre supplémentaire pour l'utilisateur actuel.

Une autre approche serait de mettre en œuvre toutes les méthodes de la classe utilisateur/rôle, donc par exemple user.posts.create ou user.readable_posts.find seraient utilisés au lieu de Post.create ou Post.find.

Laquelle de ces approches serait suggérée? Existe-t-il de meilleurs moyens de mettre en œuvre l'autorisation? Y a-t-il des plugins qui facilitent cela? J'ai besoin d'une approche qui évolue bien pour plusieurs rôles et modèles.

Answer 1

Je vous recommande de regarder declarative authorization. Cela fonctionne avec les deux modèles et les contrôleurs.

La manière dont vous faites ce que vous demandez est d'avoir un before_filter dans le contrôleur d'application qui définit Authorization.current_user = current_user où Authorization est un module.

Je pense que cette approche est la meilleure, elle garde les modèles propres et vous n'avez pas à vous souvenir d'inclure l'utilisateur partout, mais peut le filtrer dans les fonctions de rappel des modèles à la place.

Answer 2

Pourquoi le feriez-vous? L'identification au niveau du contrôleur n'est-elle pas suffisante?

if @user.is_able_to_do_this? 
    do_this 
else 
    blah! 
end 

... et dans votre modèle

def is_able_to_do_this 
    if self.rights > Constant::Admin_level_whatever 
    return true 
    end 
    return false 
end