Grape API中配置CanCanCan的check_authorization回调无效果问题求助

问题原因 #

你在ApplicationController中添加的check_authorization完全无效，因为Grape API的类并不继承自Rails的ActionController::Base，两者属于独立的请求处理体系，ActionController的回调逻辑无法作用于Grape接口。

解决方案 #

需要在Grape的API基类中手动实现类似CanCanCan的check_authorization逻辑，通过Grape的钩子确保所有端点（除显式跳过的）都执行了权限校验。

1. 创建Grape API基类

新建一个所有API资源都将继承的基类，实现权限检查的核心逻辑：

class APIBase < Grape::API
  helpers do
    # 定义current_ability，和Rails项目中的实现保持一致
    def current_ability
      @current_ability ||= Ability.new(current_user) # 根据你的实际用户认证逻辑调整
    end

    # 重写authorize!方法，标记已完成权限校验
    def authorize!(action, subject = nil)
      @_authorized = true
      current_ability.authorize!(action, subject)
    end

    # 跳过权限检查的方法，用于公开接口
    def skip_authorization
      @_authorized = true
    end
  end

  # 添加后置钩子，检查是否执行过权限校验
  after do
    # 如果未标记授权，抛出CanCan标准权限错误
    raise CanCan::AccessDenied.new(nil, env['PATH_INFO']) unless @_authorized
  end
end

2. 修改API资源继承关系

让你的所有API资源继承上述APIBase，而非直接继承Grape::API：

class JobPostsAPI < APIBase
  desc 'Get a specific job post'
  get ':id' do
    job_post = JobPost.accessible_by(current_ability).find(params[:id])
    # 注释掉authorize!后，后置钩子会自动触发权限检查并抛出错误
    # current_ability.authorize! :show, job_post
    present job_post, with: Entities::JobPost
  end

  # 示例：公开接口，跳过权限检查
  desc 'Get public job posts'
  get '/public' do
    skip_authorization
    present JobPost.public_posts, with: Entities::JobPost
  end
end

3. 验证效果

现在注释掉端点中的authorize!调用后，请求会触发CanCan::AccessDenied错误，符合预期；调用skip_authorization的端点则不会触发检查。

内容的提问来源于stack exchange，提问作者Mahade Abir