如何利用Devise阻止非管理员用户登录访问管理员专属页面？

1. 直接阻止非管理员用户登录 #

修改app/models/user.rb，重写Devise的登录验证逻辑，让只有管理员能通过登录校验：

class User < ApplicationRecord
  enum kind: { admin: 0, customer: 1 }
  devise :database_authenticatable, :registerable,
         :recoverable, :rememberable, :validatable

  # 仅管理员允许登录
  def active_for_authentication?
    super && admin?
  end

  # 登录被拒绝时的提示文本
  def inactive_message
    admin? ? super : "只有管理员可登录本系统"
  end
end

这样非管理员用户在登录时会直接被Devise拦截，无法进入系统，避免了登录后再登出的问题。

2. 管理员专属页面权限控制 #

如果有单独的管理员控制器（比如Admin::BaseController），可以在其中添加权限校验，确保只有管理员能访问：

class Admin::BaseController < ApplicationController
  before_action :authenticate_user!
  before_action :ensure_admin!

  private

  def ensure_admin!
    redirect_to root_path, alert: "无权限访问此页面" unless current_user.admin?
  end
end

所有管理员专属的控制器都继承这个基类即可。

如果整个系统只有管理员能访问，也可以直接在ApplicationController中添加全局校验：

class ApplicationController < ActionController::Base
  before_action :authenticate_user!
  before_action :ensure_admin!

  private

  def ensure_admin!
    # 双重保险：未登录或非管理员都重定向到登录页
    redirect_to new_user_session_path, alert: "仅管理员可访问系统" unless current_user&.admin?
  end
end

3. 清理冗余代码 #

删掉之前定义的冗余方法：

• application_controller.rb中的user_can_access方法
• user.rb中的is_admin?方法（直接用枚举自带的admin?即可）

内容的提问来源于stack exchange，提问作者Memories