Railsアプリでユーザー権限を管理するための完全ガイド

命名規則から始めましょう。ファイル名には_policyがあります 接尾辞が適用され、最後にクラスとポリシーがあります。このメソッドでは、名前は常に?で終わります。 文字（例：UsersPolicy#allowed? 。

次にいくつかのサンプルコードを示します：

class UsersPolicy
  def initialize(user)
    @user = user
  end

  def allowed?
    admin? || editor?
  end

  def editor?
    @user.where(editor: true)
  end

  def admin?
    @user.where(admin: true)
  end
end

どのシナリオでそれらを使用する必要がありますか？

アプリに複数の種類の制限付きアクセスと制限付きアクションがある場合。たとえば、投稿は次のように作成できます。

• 少なくとも1つのタグ
• 管理者と編集者のみが作成できる制限、および
• 編集者を確認する必要があるという要件。

ポリシーオブジェクトのないコントローラーの例を次に示します。

class PostsController < ApplicationController
  def create
    if @post.tag_ids.size > 0
    && (current_user.role == ‘admin’
    || (current_user.role == ‘editor’ && current_user.verified_email))
      # create
    end
  end
end

上記の条件チェックは長く、醜く、判読できないため、ポリシーオブジェクトパターンを適用する必要があります。

PostsCreationPolicyを作成することから始めましょう 。

class PostsCreationPolicy
  attr_reader :user, :post

  def initialize(user, post)
    @user = user
    @post = post
  end

  def self.create?(user, post)
    new(user, post).create?
  end

  def create?
    with_tags? && author_is_allowed?
  end

  private

  def with_tags?
    post.tag_ids.size > 0
  end

  def author_is_allowed?
    is_admin? || editor_is_verified?
  end

  def is_admin?
    user.role == ‘admin’
  end

  def editor_is_verified?
    user.role == ‘editor` && user.verified_email
  end
end

ポリシーオブジェクトを持つコントローラーは次のようになります：

class PostsController < ApplicationController
  def create
    if PostsCreationPolicy.create?(current_user, @post)
      # create
    end
  end
end

Railsでポリシーオブジェクトを使用する方法

アプリ/policies内にポリシーディレクトリを作成します すべてのポリシークラスをそこに配置します。コントローラを呼び出す必要がある場合は、アクションで直接呼び出すか、before_actionを使用できます。 ：

class PostsController < ApplicationController
  before_action :authorized?, only: [:edit, :create, :update, :destroy]

  def authorized?
    unless ::PostsCreationPolicy.create?(current_user, @post)
      render :file => "public/404.html", :status => :unauthorized
    end
  end
end

require 'rails_helper'

RSpec.describe "/posts", type: :request do
  describe "when user is not allowed" do
    let(:user_not_allowed) { create(:user, admin: false, editor: false) }
    let(:tag) { create(:tag) }
    let(:valid_attributes) { attributes_for(:post, tag_id: tag.id) }

    before do
      sign_in user_not_allowed
    end

    describe "GET /index" do
      it "return code 401" do
        diet = Post.create! valid_attributes
        get edit_post_url(post)
        expect(response).to have_http_status(401)
      end
    end
  end
end

require 'rails_helper'

RSpec.describe PostsCreationPolicy do
  describe "when user is not allowed" do
    let(:user) { create(:user, editor: false, admin: false) }
    let(:user_editor) { create(:user, editor: true, email: verified) }
    let(:tag) { create(:tag) }
    let(:post) { create(:post, tag_id: tag.id) }

    describe ".create?" do
      context "when user is allowed" do
        it "creates a new post" do
          expect(described_class.create?(user_editor, post)).to eq(true)
        end
      end

      context "when user is not allowed" do
        it "does not create a new post" do
          expected(described_class.create?(user, post)).to eq(false)
        end
      end
    end

    # ...more test cases
  end
end