只允许用户编辑自己的内容

我正在使用RoR 4和Devise gem进行用户验证。我希望用户能够编辑他们自己的内容，而不是其他人的内容。 authenticate_user方法似乎只能确保用户在可以编辑内容之前登录。但是另一个用户可以注册并编辑其他人的内容。只允许用户编辑自己的内容

我的控制器看起来像：

class PrayersController < ApplicationController 
    before_action :find_prayer, only: [:show, :edit, :updated, :destroy] 
    before_action :authenticate_user!, except: [:index, :show] 

    def index 
    @prayers = Prayer.all.order("created_at DESC") 
    end 

    def show 
    end 

    def new 
    @prayer = current_user.prayers.build 
    end 

    def edit 
    end 

    def create 
    @prayer = current_user.prayers.build(prayer_params) 

     if @prayer.save 
     redirect_to @prayer, notice: "Successfully created prayer" 
     else 
     render 'new' 
     end 
    end 

    def update 
     @prayer = Prayer.find_by_id(params[:id]) 

     if @prayer.update(prayer_params) 
      redirect_to @prayer, notice: "Prayer was successfully updated" 
     else 
      render 'edit' 
     end   
    end 

    def destroy 
    @prayer.destroy 
    redirect_to root_path 
    end 

    private 
    def prayer_params 
     params.require(:prayer).permit(:title, :body) 
    end 

    def find_prayer 
     @prayer = Prayer.find(params[:id]) 
    end 
end

我试图让自己的before_action看起来是这样的：

def own_prayer 
    if !current_user == Prayer.current_user 
    redirect_to @prayer, notice: "You cannot edit this prayer" 
    end 
end

但没有奏效。我可以通过类似的操作通过视图限制对表单的访问，但我不认为这是完全安全的？

谢谢

来源

2015-02-09 Tom

我猜你不上课方法current_user上Prayer类。您的用户模型中似乎还有has_many :prayers。因此，要获得祷告的用户，您需要在祷告实例变量上调用user方法。

这应该是这样的：

@prayer = Prayer.find params[:id] 

unless current_user == @prayer.user 
    redirect_to(@prayer, notice: "You cannot edit this prayer") and return 
end

如果您需要更多棘手的限制规则，然后使用cancan gem

来源

2015-02-09 12:14:06

非常感谢你。这会在我的prayers_controller的更新方法中进行吗？ – Tom 2015-02-09 22:47:28

我想你也需要限制编辑方法，所以你可以在上面的代码中添加'before_filter own_prayer，只有：[：edit，：update]'方法。然后，从更新方法 – 2015-02-10 03:52:03

中删除'@prayer = Prayer.find_by_id（params [：id]） '这就像一种享受。 – Tom 2015-02-10 10:48:22

只允许用户编辑自己的内容

回答

相关问题