Виталий Кузминов

devise+pundit тоже неплохо вместе работают

А я считаю, что авторизацию и аутентификацию нужно писать под себя.
Единственное что я бы не стал сам писать это аутентификацию по Oauth - и взял бы OmniAuth
А так всё остальное пишется довольно быстро и главное что вы будете полностью понимать механизм того как работает по сути самая главная часть вашего приложения. Хотя если вы хорошо знаете gem допустим device и точно понимаете как он работает и если что то случится вы сможете всё поменять - берите его.

В чём проблема написать это с нуля не понимаю, тем более например на railscasts есть скринкаст из 2-ух частей, где показывается как сделать это с нуля. Сделать потом табличку с ролями и метод проверяющий есть ли у юзера та или иная роль - тоже не так сложно.

Я к тому, что это важная часть приложения - по сути это будущий костяк - по которому вы будите пускать в админку или давать - не давать что то редактировать или пускать в какую то часть сайта.

Authlogic - если нужна гибкость.
Но мне кажется, вы просто поняли, что такое девайс. Он не решает ни одну из задач, что вы привели, он занимается аутентификацией.
CanCan (или уже CanCanCan для 4 рельс) занимается авторизацией, но не занимается ролями
Роли можно сделать самому (если все просто), например, как предлагает канкан - https://github.com/ryanb/cancan/wiki/Role-Based-Au...
или использовать разные гемы railscasts.com/episodes/188-declarative-authorizat...

если ваш, так называемый, backoffic и клиент - нечто большее, чем права доступа по ролям, то вообще не понимаю, что это, и каким боком к девайсу.

Аутентификация и авторизация - настолько популярная тема, что вы точно не сделаете ничего качественно нового

Для авторизации Devise (если хотите гибче - можете сразу Warden взять)
Для разграничения полномочий CanCan.
Все это уже давным-давно проверено на практике.

Такую штуку нашел https://monflo.com/download - говорят что можно прямо играть.

https://habrahabr.ru/post/155129/ глянь сюда может прокатит