Wann und wo zu implementieren ACL

Question

Ich habe rails_authorization_plugin und läuft mit Modellen.

Wie lassen sich die Berechtigungsprüfungen auf meiner Website am besten implementieren?

Ich habe komplizierte Bedingungen für, wenn eine Instanz eines Objekts sichtbar sein sollte, gibt es eine effiziente Möglichkeit, sie zusammen zu ketten, so dass ich nicht mehrere Datensätze abrufen und meine DB als Ergebnis der Schleife über zurückgegebene Daten um es zu filtern?

Answer 1

Es gibt einen effizienten Weg: stellen Sie sicher, dass Sie nur eine Abfrage ausführen, und dass die von Ihnen ausgeführte Abfrage genau die gewünschten Objekte zurückgibt. Leichter gesagt als getan, natürlich.

Eine Möglichkeit, dies zu handhaben, besteht darin, Ihre Bedingungen mithilfe von Bereichen zu erstellen.

@posts = @thread.posts.not_deleted.this_week.not_secret 

Wenn alle diese Methoden Bereiche sind, wird dies nur eine Abfrage sein.

Wenn Ihre Bedingungen zu komplex sind, um sie leicht zu Bereichen zu machen, sollten Sie wahrscheinlich einfach eine Methode schreiben, um die sichtbaren Objekte für den Benutzer zurückzugeben.

class User 
def posts_for(thread) 
    if is_admin? 
    thread.posts 
    elsif thread.owner == self 
    thread.posts.not_deleted 
    else 
    Post.find(:all, :conditions => something_complicated(thread, self)) 
    end 
end 
end 

Meine Anwendung hat viele Arten von Objekten und sehr komplizierter Berechtigungen, so dass wir erfassen Anrufe wie das mit method_missing, und sie an eine Erlaubnis Bibliothek, die weiß, wie man all die verschiedenen Anfragen zu machen.