ruby-on-rails - 在私有(private) Controller 方法中返回 redirect_to

Question

前言:我正在使用 devise 进行身份验证。

我试图阻止未经授权的用户查看、编辑或更新其他用户的信息。我最担心的是用户将 DOM 中的表单修改为另一个用户的 ID，填写表单，然后单击更新。我在 SO 上专门阅读过类似下面的内容应该有效，但事实并非如此。 SO 上的一篇帖子建议将 validate_current_user 方法移至公共(public)领域，但这也不起作用。

有什么明显的我做错了吗？或者对于我正在尝试做的事情是否有更好的方法，使用设计或其他方法？

我的 UsersController 看起来像这样:

class UsersController < ApplicationController
  before_filter :authenticate_admin!, :only => [:new, :create, :destroy]
  before_filter :redirect_guests

  def index
    redirect_to current_user unless current_user.try(:admin?)

    if params[:approved] == "false"
      @users = User.find_all_by_approved(false)
    else
      @users = User.all
    end
  end

  def show
    @user = User.find(params[:id])
    validate_current_user
    @user
  end

  def new
    @user = User.new
  end

  def edit
    @user = User.find(params[:id])
    validate_current_user
    @user
  end

  def create
    @user = User.new(params[:user])

    respond_to do |format|
      if @user.save
        format.html { redirect_to @user, :notice => 'User was successfully created.' }
      else
        format.html { render :action => "new" }
      end
    end
  end

  def update
    @user = User.find(params[:id])

    validate_current_user

    respond_to do |format|
      if @user.update_attributes(params[:user])
        format.html { redirect_to @user, :notice => 'User was successfully updated.' }
      else
        format.html { render :action => "edit" }
      end
    end
  end

  private

  def redirect_guests
    redirect_to new_user_session_path if current_user.nil?
  end

  def validate_current_user
    if current_user && current_user != @user && !current_user.try(:admin?)
      return redirect_to(current_user)
    end
  end

end

authenticate_admin! 方法如下所示:

  def authenticate_admin!
    return redirect_to new_user_session_path if current_user.nil?

    unless current_user.try(:admin?)
      flash[:error] = "Unauthorized access!"
      redirect_to root_path
    end
  end

编辑 -- “它不起作用”是什么意思？

为了帮助澄清，当我尝试“破解”另一个用户的帐户时遇到此错误:

Render and/or redirect were called multiple times in this action. Please note that you may only call render OR redirect, and at most once per action. Also note that neither redirect nor render terminate execution of the action, so if you want to exit an action after redirecting, you need to do something like "redirect_to(...) and return".

如果我将方法代码内联到各个 Controller 操作中，它们会起作用。但是，我不想这样做，因为它不是 DRY。

我还应该说明我已经尝试过:

def validate_current_user
  if current_user && current_user != @user && !current_user.try(:admin?)
     redirect_to(current_user) and return
  end
end

Answer 1

如果您考虑一下，私有(private)方法中的 return 只是退出方法并将控制权交还给 Controller ——它不会退出操作。如果你想退出 Action 你必须再次返回

例如，你可以有这样的东西:

class PostsController < ApplicationController
  def show
    return if redirect_guest_posts(params[:guest], params[:id])
    ...
  end

  private

  def redirect_guest_post(author_is_guest, post_id)
    redirect_to special_guest_post_path(post_id) if author_is_guest
  end
end

如果 params[:guest] 存在且不为 false，私有(private)方法返回一些真实的东西并且 #show Action 退出。如果条件失败，则返回 nil，操作继续。