Каковы наилучшие методы авторизации?

Question

Ситуация: рельсы 3.2 приложение с демо-периодом, после которого пользователи должны начать оплачивать услугу.

Вопрос: Если пользователь не добавляет способ оплаты или не выбирает план платежей, каков рекомендуемый способ ограничения доступа пользователей к «платной» части веб-приложения?

мне нужно что-то, что сортирует пользователей следующим образом:

if user.admin? || user.in_demo || user.has_all_payment_data 
    # carry on 
elsif user.should_add_payment_method 
    # send them to add payment method page 
elsif user.should_choose_plan 
    # send them to add plan 
else 
    # redirect to home page or whatever 
end 

Я начал с before_filter на контроллере приложения, который проверяет статус оплаты пользователя на каждом запросе и перенаправляет их соответствующим образом (пропустив этот в таких местах, как редактирование домашней страницы/профиля и т. д.), но я думаю, что должен быть лучший способ, поскольку он быстро становится слишком сложным, и он просто чувствует себя не так, имея всю эту сложность в контроллере приложения. Я смотрю на библиотеки пользовательских ролей, такие как cancan, но я не могу найти ничего подходящего.

Answer 1

Существует сообщение Джонаса Никласа (создателя Capybara и CarrierWave), в котором он подробно объясняет, как использовать более простой подход, чем CanCan's. Его подход основан на дополнительном простом классе Ruby для каждой модели, для которой вы хотите создать правила авторизации.

Simple authorization in Ruby on Rails apps (Elabs blog)

Они разгружены, что решение в драгоценный камень по имени Пандит, но это действительно кажется достаточно простым, чтобы быть в состоянии осуществить с нуля.

Pundit gem (GitHub)

Answer 2

Я хотел бы предложить before_filter в контроллере приложения, а затем с помощью skip_filter в отдельных контроллерах, чтобы обойти его за действия, которые неоплачиваемые пользователи могут получить доступ, например:

class ApplicationController < ActionController::Base 
    before_filter :check_payment 
    ... 
end 

class UserController < ApplicationController 
    skip_filter :check_payment, :only => [:login, :logout, ...] 
    ... 
end 

Это сохраняет доступ, содержащийся в соответствующем контроллеров, а не нуждающихся в более крупном :except => ... на самом фильтре.