如何在模型中更优调用CanCanCan的can?方法？现有方案存何问题？

我想在模型的save方法中调用CanCanCan的权限方法，但这类方法通常只在控制器或视图中可用。目前我的实现方式是：在模型中定义attr_accessor :ability，在控制器调用save前为其赋值Ability对象。

现有代码示例 #

模型代码

class Example
  include ActiveModel::Model

  attr_accessor :ability

  def save
    if ability.can?(:create, SomeOtherModel)
       # 执行相关逻辑
    end
  end
end

控制器代码

class ExamplesController < ApplicationController
  def create
    @example = Example.new(params[:example])
    @example.ability = Ability.new(current_admin_user) # current_admin_user可以是Admin、Support等不同模型的实例

    if @example.save
      # 保存成功后的逻辑
    end
  end
end

请问：

1. 是否有更优的方法在模型中调用can?方法？
2. 当前方案在安全性或其他方面存在哪些问题？

现有方案的问题 #

• 职责边界混乱：模型的核心职责是封装数据和数据相关逻辑，权限控制属于访问控制范畴，本该由控制器层负责。把权限判断放进模型，违反了MVC的职责分离原则，会让模型臃肿不堪，后续维护成本飙升。
• 安全风险：如果控制器中忘记给ability赋值，模型的save方法会因nil值抛出异常；更严重的是，若代码疏漏或测试场景中恶意注入错误的Ability对象，会直接导致权限判断失效，引发越权操作。
• 测试成本高：测试模型时必须手动注入Ability对象，增加了测试复杂度；同时无法复用控制器层的权限测试逻辑，需要重复编写冗余用例。

更优的替代方案 #

方案1：将权限判断移至控制器 #

这是最贴合MVC设计原则的方案：把权限检查放在控制器中，通过验证后再调用模型的save方法。

class ExamplesController < ApplicationController
  def create
    @example = Example.new(params[:example])
    
    if can?(:create, SomeOtherModel) && @example.save
      # 保存成功逻辑
    else
      # 权限不足或保存失败逻辑
    end
  end
end

模型代码简化为：

class Example
  include ActiveModel::Model

  def save
    # 仅处理数据相关的保存逻辑，无需权限判断
    # ...
  end
end

方案2：传递权限判断结果而非Ability对象 #

如果模型逻辑确实依赖权限判断，但不想注入整个Ability对象，可以直接把权限检查的布尔值传给模型方法：

class ExamplesController < ApplicationController
  def create
    @example = Example.new(params[:example])
    can_create_other = can?(:create, SomeOtherModel)
    
    if @example.save(can_create_other: can_create_other)
      # 保存成功逻辑
    end
  end
end

模型代码：

class Example
  include ActiveModel::Model

  def save(can_create_other: false)
    if can_create_other
       # 执行相关逻辑
    end
    # 处理保存逻辑
  end
end

方案3：用服务对象封装复杂业务逻辑 #

如果业务逻辑涉及多模型操作和权限判断，可以把这部分逻辑抽离到服务对象中，让控制器调用服务，服务统一处理权限验证和模型操作：

class ExampleCreationService
  def initialize(current_user, params)
    @current_user = current_user
    @params = params
    @ability = Ability.new(current_user)
  end

  def call
    return false unless @ability.can?(:create, SomeOtherModel)
    
    Example.new(@params).save
  end
end

控制器调用：

class ExamplesController < ApplicationController
  def create
    service = ExampleCreationService.new(current_admin_user, params[:example])
    
    if service.call
      # 成功逻辑
    else
      # 失败逻辑
    end
  end
end

内容的提问来源于stack exchange，提问作者Irina