ruby-on-rails - 检查 current_user 是否是资源的所有者并允许编辑/删除操作

Question

示例:

用户 (id=10) 创建了一个 照片资源

photo: (id: 1 user_id = 10, url: "http://...")

现在，如果用户 乙 (id=20) 转到这个网址: /photos/1/edit它可以编辑用户的照片 !!!

Rails+Devise 默认情况下为此提供一些东西？似乎这是一个非常普遍的问题

我只需要允许任何用户只能编辑/删除它创建的资源(其中 current_user == resource.user)

使用: Rails 4，设计

更新:

我认为 CanCan 太先进了。我不需要角色或将某些操作限制为某些用户

Answer 1

在您的照片 Controller 中:

before_filter :require_permission, only: :edit

def require_permission
  if current_user != Photo.find(params[:id]).user
    redirect_to root_path
    #Or do something else here
  end
end