Как правильно сделать проверку прав в API?

Question

[Антон Иванов]

Всем привет.

Есть API (rails) с определенным списком методов.
И есть пользователи с разными правами.

Незарегистрированные пользователи могут пользоваться одним списком функций
Зарегистрированным пользователям доступен больший список функций, но некоторые из этих функций могут быть применены только к своему пользователю.

Как принято организовывать проверку прав доступа? Надо проверять в каждом методе (ну, или в before_action), или как-то по другому в одном месте, например в ApplicationController все это надо проверять?

Заранее спасибо.

Answer 1

[vsuhachev]

Я обычно аутентификацию вешаю на before_action, авторизацию указываю ручками для каждого метода каждого контроллера т.к. это проще. Так же я обычно правлю шаблоны скаффолдинга под текущий проект для того чтобы код авторизации генерился автоматом.

При использовании pundit можно на after_action повешать проверку была ли проведена авторизация(см. доки). Вкупе с тестами, покрывающими все экшены контроллеров, это проверка помогает не забыть сделать авторизацию.

Еще для политик pundit можно писать тесты, иногда это оправданно, если политики со сложной логикой.

Так же я видел проекты где тесты контроллеров для проверки авторизации выполнялись под разными ролями, но это, мне кажется, плохой подход т.к. много зависит от ручной работы по приведению в соответствие кода и тестов.

Answer 2

[Andrey Demidenko]

Мне нравится pundit, есть еще cancancan

Comments

[Антон Иванов]

Вопрос немного не о том, что именно использовать для проверки, а о том, где эту проверку осуществлять

[Andrey Demidenko]

Антон Иванов: к гем pundit есть много примеров, как делать проверку на права, и естественно это будет происходит в экшене контроллера