Comment contrôler les ressources de l'utilisateur, mais laisser les administrateurs tout voir?

Question

J'ai une application Rails où les utilisateurs ont des adhésions aux projets (et d'autres choses, polymorphiquement). Les utilisateurs ont également des rôles. Je souhaite que les projets Utilisateur # fonctionnent comme une recherche ActiveRecord normale, mais je souhaite également que les administrateurs aient accès à tous les projets.

Pendant un certain temps que je suis en train de faire ceci:

class User < ActiveRecord::Base 
    has_many :memberships, :dependent => :destroy 

    def projects 
    if has_role?(:admin) 
     Project.find(:all) 
    else 
     Project.find(:all, :include => :memberships, :conditions => ["memberships.user_id = ?", id]) 
    end 
    end 
end 

class Project < ActiveRecord::Base 
    has_many :memberships, :as => :member, :dependent => :destroy 
end 

class Membership < ActiveRecord::Base 
    belongs_to :user 
    belongs_to :member, :polymorphic => :true 
end 

Mais je voudrais vraiment faire quelque chose plutôt comme ceci:

class User < ActiveRecord::Base 
    has_many :memberships, :dependent => :destroy 
    has_many :projects, :through => :memberships, :source => :member, :source_type => "Project" 
end 

pour que je puisse utiliser named_scope plus régulièrement (par exemple ' alfred.projects.recent.active '). Le

Cela fonctionne si vous ajoutez automatiquement de nouvelles adhésions pour les administrateurs, mais cela devient rapidement incontrôlable.

Je souhaite conserver l'interface des projets Utilisateur #. Quelle est la bonne piste ici?

Merci beaucoup.

Answer 1

Take a look at activefx's restfull authenticaion tutorial: (tutoriel d'authentification reposant) Il est une application de rails avec les caractéristiques suivantes:

CARACTÉRISTIQUES COURANT

- Login/Logout 
- Restful, with the exception of the "activate" action 
- Namespaced admin and user sections 
- OpenID Authentication with support for incomplete OpenID profiles 
- Roles and permissions 
- Administrative user controller 
- Set roles, activate, enable/disable users 
- Login, permission, and access denied redirection system 
- Member list and public profiles for logged in users 
- Activation, with option to resend activation code 
- Beta invitation system 
- easy on/off functionality, add/remove invites, send emails to 
- pending users 
- Forgot Password/Reset Password 
- Change Password 
- Failed login attempts database logging 
- Recaptcha displayed for more than 5 failed logins 
- Helper methods (link_to_user, if_admin?, etc.) 

This thread will explain how you give owner and administrator access. #28.

Bonne chance.