Privilèges d'administrateur dans Pundit avec des ressources imbriquées et comment gérer l'action d'index

Question

Je suis novice en matière d'auteur et j'essaie de trouver la meilleure approche pour gérer les ressources imbriquées pour l'action d'index. J'ai trouvé un similar question mais il ne traite pas des privilèges d'administrateur et je ne suis pas sûr si ma solution semble tout à fait raison. Disons que j'ai deux modèles, un User peut avoir beaucoup de notes et un Note qui appartient à un seul utilisateur.

Les utilisateurs ne peuvent pas regarder les notes d'autres utilisateurs à moins qu'ils ne soient un administrateur. En même temps, les administrateurs sont capables de créer leurs propres notes et doivent donc avoir la possibilité d'en récupérer une liste via leur propre action d'index.

routes.rb

resources :users, only: :show do 
    resources :notes 
end 

notes_controller.rb

class NotesController < ApplicationController 

    #would probably move to application_controller.rb 
    after_action :verify_authorized 
    after_action :verify_policy_scoped 

    def index 
    user = User.find(params[:user_id]) 
    @notes = policy_scope(user.notes) 
    authorize user 
    end 

    #additional code 
end 

note_policy.rb

class NotePolicy < ApplicationPolicy 

    class Scope < Scope 
    def resolve 
     if user.admin? && scope != user.notes 
     scope 
     else 
     user.notes 
     end 
    end 
    end 

    #additional code 
end 

user_policy.rb

class UserPolicy < ApplicationPolicy 

    def index? 
    user == record || user.admin? 
    end 

    #additional code 
end 

Answer 1

Vous Overthinking il:

class NotePolicy < ApplicationPolicy 

    class Scope < Scope 
    def resolve 
     scope.where(user: user) 
    end 
    end 

    def index? 
    record == user || user.admin? 
    end 

    # ... 
end 

Notez ici que son une bonne idée de la chaîne du champ d'application étant passée à partir de policy_scope. Il permet à votre contrôleur de configurer toutes les étendues non liées à l'autorisation comme par exemple la pagination.

Toujours dans index? nous trichons légèrement. Au lieu de passer une instance de note, nous ne faisons que passer l'utilisateur.

class NotesController < ApplicationController 

    before_action :set_user!, only: [:index] # ... 
    before_action :set_note!, only: [:show, :edit, :update, :destroy] 

    def index 
    @notes = policy_scope(Note.all) 
    authorize(@user) 
    end 

    # ... 

    private 
    def set_user! 
     @user = User.find(params[:user_id]) 
    end 

    def set_note! 
     @note = authorize(Note.find(params[:id])) 
    end 
end 

L'utilisation before_action de cette façon est un modèle assez bon car il met en place toutes les actions « membres » d'autorisation.