Придумайте аутентификацию с подклассами STI и Rails Admin

Question

Итак, я использую STI для включения некоторых ролей в таблицу моих пользователей. Прямо сейчас у меня есть обычные пользователи и администраторы. Я установил Rails_admin, и мне нужен способ аутентификации админов, но я не уверен, как сделать это безопасно.

Сейчас у меня есть этот код в моем контроллере Application

def authenticate_admin!(opts={}) 
    current_admin || redirect_to(?) 
end 

def current_admin 
    current_user if current_user.is_a? Admin 
end 

В Мой файл rails_admin.rb у меня есть этот

config.authenticate_with do 
authenticate_admin! 
end 

Мой текущий вопрос в том, что я не могу получить redirect_to на самом деле прямой на что угодно. Я продолжаю получать ошибки. Также является простой переадресацией, если пользователь не является администратором всего, что мне нужно? Это лучшая практика и самая безопасная? Я иду в правильном направлении здесь? Любая помощь будет оценена по достоинству. Благодарности

Answer 1

Ok, несколько вещей:

1) CanCan довольно прост в использовании и стоит незначительных установок. Вот пример того, как app/models/способность.rb может выглядеть, если у вас есть два метода экземпляра пользователя is_admin? и is_reviewer?

class Ability 
    include CanCan::Ability 
    def initialize(user) 
    if user && user.is_reviewer? 
     can :access, :rails_admin 
     can :dashboard 
     cannot :read, [Class1, Class2, Class3] 
     can :read, Class4 
    end 
    if user && user.is_admin? 
     can :access, :rails_admin 
     can :manage, :all 
    end 
    end 
end 

Ваш RailsAdmin конфигурации будет содержать следующее:

RailsAdmin.config do |config| 
    config.authorize_with :cancan 
    ... 
end 

И не забывайте, что вам придется добавить канкан на ваш Gemfile быть установлен как зависимость.

2) Далее, и, вероятно, более ценным является то, что вы не хотите бросать код перенаправления в метод аутентификации. Вместо этого, вы можете добавить следующее в ApplicationController:

rescue_from Acl9::AccessDenied do |exception| 
    respond_to do |format| 
    format.json do 
     render :json => { :success => false, :message => "You do not have access to do this action." } 
    end 
    format.html do 
     flash[:error] = 'You do not have access to view this page.' 
     redirect_to root_url 
    end 
    end 
end 

Или просто:

rescue_from Acl9::AccessDenied do |exception| 
    flash[:error] = 'You do not have access to view this page.' 
    redirect_to root_url 
end