ActiveAdmin按资源授权问题：同一User模型多资源权限控制求助

你的痛点我太能理解了——用同一个User模型做了「成员」「员工」两个完全不同的管理入口，再加上「捐赠」资源，默认的ActiveAdmin授权机制确实没直接提供基于Resource的区分方式，但完全可以通过自定义授权适配器实现基于Resource或控制器的访问控制，下面给你几个可行的方案：

方案1：通过active_admin_config直接获取当前Resource #

ActiveAdmin的控制器内置了active_admin_config属性，它指向当前正在访问的Resource配置对象（哪怕多个Resource基于同一个模型）。你可以在自定义授权适配器里利用这个属性区分不同的管理入口：

首先创建自定义授权适配器：

# app/admin/custom_authorization_adapter.rb
class CustomAuthorizationAdapter < ActiveAdmin::AuthorizationAdapter
  def authorized?(action, subject = nil)
    # 获取当前的ActiveAdmin Resource配置
    current_resource = controller.active_admin_config
    # 拿到Resource的别名（比如你定义的"Member"、"Staff"）
    resource_alias = current_resource.resource_name.to_s

    # 根据不同Resource判断权限
    case resource_alias
    when "Member"
      user.has_permission?(:manage_members)
    when "Staff"
      user.has_permission?(:manage_staff)
    when "Donation"
      user.has_permission?(:manage_donations)
    else
      # 其他资源 fallback 到默认逻辑
      super
    end
  end
end

然后在ActiveAdmin初始化配置里指定这个适配器：

# config/initializers/active_admin.rb
ActiveAdmin.setup do |config|
  # ...其他配置
  config.authorization_adapter = CustomAuthorizationAdapter
end

这个方案的优势是直接绑定到你定义的Resource别名，和控制器类名解耦，哪怕后续修改控制器命名也不影响权限逻辑。

方案2：直接通过控制器类名判断 #

如果你更倾向于基于控制器区分，也可以直接获取当前控制器的类名：

def authorized?(action, subject = nil)
  controller_class = controller.class.name

  case controller_class
  when "Admin::MembersController"
    user.can_access_members_section?
  when "Admin::StaffController"
    user.can_access_staff_section?
  when "Admin::DonationsController"
    user.can_access_donations_section?
  else
    super
  end
end

这种方式更直观，适合你明确知道控制器命名的场景。

方案3：给Resource添加自定义权限标识 #

你还可以给每个Resource手动添加自定义标识，让授权逻辑更清晰：

# app/admin/members.rb
ActiveAdmin.register User, as: "Member" do
  # 添加自定义权限标识
  config.priority = :member_management
  # ...其他视图、操作配置
end

# app/admin/staff.rb
ActiveAdmin.register User, as: "Staff" do
  config.priority = :staff_management
  # ...其他配置
end

# app/admin/donations.rb
ActiveAdmin.register Donation do
  config.priority = :donation_management
  # ...其他配置
end

然后在授权适配器里读取这个标识：

def authorized?(action, subject = nil)
  permission_key = controller.active_admin_config.priority

  case permission_key
  when :member_management
    user.can_manage_members?
  when :staff_management
    user.can_manage_staff?
  when :donation_management
    user.can_manage_donations?
  else
    super
  end
end

扩展：细粒度操作权限控制 #

如果需要进一步控制「查看/新增/编辑/删除」等操作，只需要结合action参数判断即可：

when "Member"
  case action
  when :index, :show
    user.can_view_members?
  when :new, :create
    user.can_create_members?
  when :edit, :update
    user.can_edit_members?
  when :destroy
    user.can_delete_members?
  else
    false
  end

关键注意点 #

• 上述方案在ActiveAdmin 1.4.3版本中完全可用，controller.active_admin_config是这个版本稳定支持的属性；
• 你需要在User模型中实现对应的权限判断方法（比如has_permission?），可以自己简单实现，也可以结合CanCanCan等权限库；
• 这种方式完全满足你「先限制站点区域访问，再细化操作权限」的需求，是ActiveAdmin场景下非常合理的权限控制方式。

内容的提问来源于stack exchange，提问作者Sprachprofi