Как разделить доступ к записям rails_admin?

Question

[lolipo]

Есть модель с заданиями. Подскажите плиз как разрешить редактировать только свои собственные задания, а чужие запретить. Есть так же две модели: админ и юзер.

Answer 1

[Евгений Козлов]

Я использовал для подобной задачи гем pundit
И вот такой Policy Object:

class CommentPolicy
  attr_reader :user, :comment

  def initialize(user, comment)
    @user = user
    @comment = comment
  end

  def update?
    owner?
  end

  def destroy?
    owner?
  end

  private

  def owner?
    comment.user == user
  end
end

Comments

[lolipo]

Спасибо, теперь, я так понимаю, надо добавить поле owner с типом user в модель задания?

[Евгений Козлов]

lolipo, Если сейчас у вас пользователи и задания не связаны, то да, нужно через миграции добавить к таблице заданий атрибут для связи между пользователем и заданиями. Также не забудьте объявить связь в моделях.

[lolipo]

Евгений Козлов, Вот что я сделал:
новую миграцию

class AddUserIdToTasks < ActiveRecord::Migration[5.1]
  def change
    add_reference :tasks, :user, foreign_key: true
  end
end

в модель тасков belongs_to :user
в модель юзеров has_many :tasks мб надо что-то другое выбрать, а то я как сомневаюсь в has_many
в контроллер тасков добавил authorize @tasks в методы index, new, create, destroy (в метод edit тоже надо?)
ApplicationPolicy

class ApplicationPolicy
  attr_reader :user, :record

  def initialize(user, record)
    raise Pundit::NotAuthorizedError, "must be logged in" unless user
    @user = user
    @record = record
  end

  def index?
    false
  end

  def show?
    scope.where(:id => record.id).exists?
  end

  def create?
    false
  end

  def new?
    create?
  end

  def update?
    owner?
  end

  def edit?
    owner?
  end

  def destroy?
    owner?
  end


  def owner?
    task.user == user
  end

  def scope
    Pundit.policy_scope!(user, record.class)
  end

  class Scope
    attr_reader :user, :scope

    def initialize(user, scope)
      @user = user
      @scope = scope
    end

    def resolve
      scope
    end
  end
end

TaskPolicy

class TaskPolicy < ApplicationPolicy
  def index?
    true
  end

  def create?
    user.present?
  end

  def update?
    return true if user.present? && user == task.user
  end

  def destroy?
    return true if user.present? && user == task.user
  end

  private

  def article
    record
  end
end

но все равно работает не корректно ...
например, добавило поле выбора юзеров, когда создаешь новый таск. Что бы его убрать надо добавить какой-то метод current_user? ну и еще есть мелкие неточности в какие я пока что не въезжаю

[Евгений Козлов]

В документации rails_admin почитайте как сконфигурировать вьюшки для модели чтобы поле user скрыть. а в контроллере создавайте модель вот таким образом current_user.tasks.build(task_params)

[lolipo]

Евгений Козлов, то есть в контроллере в index делаю так ?

def index
    #@tasks = Task.all
    current_user.tasks.build(task_params)
    authorize @tasks
  end

тогда еще надо будет в task_params дописать парамететр с id user?

[Евгений Козлов]

Попробуйте поднять и посмотреть как делал я:
Github

[lolipo]

Евгений Козлов, ок, сейчас поковыряю