Понимание жизненного цикла атрибута класса модели Rails

Question

Ищете лучший способ проверки прав собственности в модели Rails без раздувания моих контроллеров. Это означает, что мне нужно каким-то образом передать current_user модели.

Я в настоящее время установки атрибута класса на модели пользователя в CURRENT_USER в начале каждого запроса:

class User < ActiveRecord::Base 
    cattr_accessor :current_user 
end 

class ApplicationController < ActionController::Base 
    before_filter :set_current_user 
    def set_current_user 
    User.current_user = current_user 
    end 
end 

Я не уверен, если я полностью понимаю всю жизнь User.current_user в этом сценарий. Возможно ли, что значение может измениться во время запроса?

Я в первую очередь хочу знать, безопасно ли использовать вышеуказанное, а также если есть лучший подход.

Answer 1

Чтобы ответить на первую часть вашего вопроса. Атрибут будет сохранен в памяти до тех пор, пока пользовательский класс не будет сброшен или отправлен сборщику мусора. Обычно это происходит, когда виртуальная машина или интерпретатор закрываются.

В такой среде, как Heroku, эта переменная может храниться между запросами, а пользователь, не прошедший проверку, будет иметь доступ к самому последнему пользователю, обратившись к этой переменной, если только он не будет очищен, когда первый пользователь будет выполнен.

Answer 2

Это, безусловно, правильный подход, если вы хотите соответствовать лучшим практикам. current_user - это метод контроллера, и, следуя шаблону Chain-of-responsibility, модель User не должна знать, кем является текущий пользователь.

Answer 3

Это небезопасный подход. Держите свое состояние в контроллерах и бизнес-логике в моделях.

Если текущий_узел должен быть передан на уровень модели, то модели не должно заботиться о том, кто это. Вы всегда можете использовать ассоциации для фильтрации доступа к контенту.

current_user.widgets.find(params[:id])