Rails集成CanCanCan时关联条件解析错误及意外弃用警告问题

你遇到的问题由三个核心原因导致：

1. JSONAPI::Resources（以下简称JR）的资源层关联定义和ActiveRecord模型层关联规则不同，导致关联加载逻辑异常
2. 同时使用JR的资源解析逻辑和CanCanCan默认的load_and_authorize_resource，两者的资源加载流程冲突，导致权限校验时关联对象未正确加载
3. 你贴出的ability.rb代码存在明显疏漏，initialize方法中未调用author_actions，导致用户相关权限未被注册（如果实际代码确实未调用，这是直接导致创建时报403的原因之一）

1. 修复JR关联定义，解决弃用警告 #

JR的关联定义语义和ActiveRecord不完全一致：

• JR中belongs_to仅用于配置嵌套路由场景（即子资源的访问路径完全嵌套在父资源路径下，如/videos/:video_id/captions）
• 模型层的belongs_to从属关系（子资源持有外键）在JR资源层需要用has_one声明

你只需将CaptionResource中的belongs_to :video修改为has_one :video即可消除警告，不需要修改模型层的关联定义。

2. 适配CanCanCan和JR的联动逻辑 #

默认的load_and_authorize_resource是为标准Rails表单参数设计的，无法适配JR的JSONAPI格式参数，也无法和JR的资源查询/序列化流程联动，这是你权限不生效的核心原因：

• 读取操作时：JR会自行执行全量资源查询，绕过CanCanCan的accessible_by过滤，导致访客能看到所有字幕
• 写入操作时：默认资源加载器无法解析JSONAPI格式的关联参数，导致新建Caption实例时video属性为空，关联权限条件永远不满足，返回403

替换方案如下：

第一步：移除Controller层的load_and_authorize_resource配置，改用JR的授权钩子 #

在ApplicationResource中加入全局权限校验逻辑：

class ApplicationResource < JSONAPI::Resource
  abstract
  # 全局应用CanCanCan的权限过滤到所有查询
  def self.records(options = {})
    current_ability = options[:context][:current_ability]
    super.accessible_by(current_ability)
  end

  # 保存前校验当前操作权限
  before_save do
    current_ability = context[:current_ability]
    current_ability.authorize! action_name, @model
  end
end

第二步：将CanCanCan能力实例传入JR上下文 #

在ApplicationController中添加context方法：

class ApplicationController < JSONAPI::ResourceController
  # 省略原有其他逻辑
  def context
    {
      current_ability: current_ability,
      current_person: current_person # 可根据你的实际登录逻辑调整
    }
  end
end

3. 修复Ability代码疏漏 #

你贴出的ability.rb中initialize方法仅调用了guest_actions和user_actions，没有调用author_actions，如果实际代码确实如此，补全调用即可：

def initialize(person)
  guest_actions
  user_actions(person)
  author_actions(person) # 补全这行
end

验证逻辑 #

调整完成后测试：

• 访客访问字幕列表，只能看到关联visible: true的视频的字幕，访问未发布视频的字幕返回403
• 登录用户创建字幕时，只要传入正确的video关联参数，且对应视频是该用户创作的，即可正常创建，否则返回403

内容的提问来源于stack exchange，提问作者Pida