CanCanCan中:update与:edit权限冲突及项目锁定权限配置问题

背景 #

项目基于CanCanCan 3.4.0实现角色权限控制，原本逻辑正常：比如员工角色允许执行:edit但禁止:update，通过can [:update], project if user.staff?定义。

现在需要新增规则：当项目处于锁定状态（locked?: true）时，所有用户仅保留只读权限——允许查看编辑视图（:edit），但禁止执行:update、update_extra_costs操作。

遇到的问题 #

在Ability Model末尾添加如下规则后：

cannot %i[update update_extra_costs], Project, locked?: true

发现原本有:edit权限的用户也无法访问编辑视图了。原因是CanCanCan默认将:edit和:update作为关联操作，设置cannot :update会同时限制:edit权限。

尝试过的临时方案无效：

if can? :edit, Project #=> 仅当上方已定义can?时生效
  cannot [:update], Project, locked?: true
  can [:edit], Project
end

因为can?方法无法在Ability Model内部使用，且该方案会导致所有用户都能查看编辑视图，不符合需求。

核心问题 #

1. 如何正确实现：项目锁定时，仅允许原本有:edit权限的用户继续查看编辑视图，同时禁止所有用户执行:update相关操作？
2. 是否可以解除:edit与:update的默认关联，让cannot :update不再影响:edit权限？

解决方案1：解除全局操作耦合（推荐） #

CanCanCan允许通过修改全局操作别名来解除:edit和:update的默认关联。在项目的初始化文件（如config/initializers/cancancan.rb）中添加以下代码：

# 移除edit与update的默认关联映射
Ability.alias_actions.delete(:edit)

# 若需要保留其他默认别名，可重新定义（按需调整）
# Ability.alias_actions = {
#   create: [:new],
#   destroy: [:delete]
# }

修改后，:edit和:update将成为完全独立的操作。此时只需在Ability Model中保留原有角色权限配置，再添加锁定项目的禁止规则即可：

# 原有角色权限配置
can [:edit], Project if user.staff?
# ...其他角色的权限规则

# 新增锁定项目的禁止规则
cannot %i[update update_extra_costs], Project, locked?: true

这种方式一劳永逸，无需重复维护角色判断逻辑。

解决方案2：显式重新授权特定角色 #

如果不想修改全局配置，可以在添加锁定禁止规则后，针对原本拥有:edit权限的角色，显式授权其对锁定项目的:edit权限。示例如下：

# 原有角色权限配置
can [:edit], Project if user.staff?
# ...其他角色的权限规则

# 新增锁定项目的禁止规则
cannot %i[update update_extra_costs], Project, locked?: true

# 重新授权有:edit权限的角色访问锁定项目的编辑视图
can [:edit], Project, locked?: true if user.staff?
# 其他有:edit权限的角色需对应添加此规则

这种方式需要手动维护所有拥有:edit权限的角色判断，适合场景简单的项目。

内容的提问来源于stack exchange，提问作者chmich