Ruby on Rails更新用户详情时请求被拒问题求助

嘿，作为Rails新手碰到这种权限问题太正常了，咱们一步步来排查解决：

1. 先检查更新动作的参数许可逻辑 #

你现在只给创建用户的save_user方法用了allowed_params，但更新用户的update方法是不是也正确调用了这个参数白名单？

首先确保你的update方法是这么写的：

def update
  @user = User.find(params[:id])
  if @user.update(allowed_params)
    redirect_to users_path, notice: "用户更新成功！"
  else
    render :edit
  end
end

另外，更新用户时有时候不需要传password和password_confirmation（比如只改姓名/邮箱），但你的allowed_params里包含了这俩。不过更关键的是：你提交的更新表单里有没有传递不在白名单里的参数？

可以去服务器日志里看请求详情，比如：

Started PATCH "/users/1" for 127.0.0.1 at 2024-05-20 10:00:00 +0800
Processing by UsersController#update as HTML
  Parameters: {"authenticity_token"=>"xxx", "user"=>{"fname"=>"张三", "email"=>"zhangsan@example.com", "age"=>"25"}, "id"=>"1"}

如果像上面的age这种不在allowed_params里的参数，Rails会直接过滤掉，要是你的更新逻辑依赖这些参数，就可能导致请求被拒或者更新失败。

2. 排查角色授权逻辑 #

因为你有Admin和普通User的角色区分，更新用户的权限应该只开放给Admin对吧？那得检查你的授权验证是不是出了问题：

如果你用了自定义的before_action验证： #

比如你可能写了这样的代码：

before_action :verify_admin, only: [:create, :update, :destroy]

def verify_admin
  unless current_user.role_id == 1 # 假设1是管理员角色ID
    redirect_to root_path, alert: "Request denied"
  end
end

那要确认current_user是不是真的是管理员，role_id的判断逻辑有没有错（比如是不是把管理员的ID写成2了？）。

如果你用了Pundit/Cancancan这类权限gem： #

比如Pundit的UserPolicy里的update?方法是不是正确返回了true给管理员：

class UserPolicy < ApplicationPolicy
  def update?
    user.admin? # 这里的user是当前登录用户，要确保admin?方法逻辑正确
  end
end

要是这里返回false，那管理员更新用户也会被拒。

3. 确认表单请求方法是否正确 #

Rails的更新表单必须用PUT/PATCH请求，你得确保表单是用form_with或者form_for生成的，比如：

<%= form_with(model: @user) do |form| %>
  <%= form.text_field :fname %>
  <%= form.email_field :email %>
  # 其他字段
  <%= form.submit "更新用户" %>
<% end %>

如果表单用了GET或者POST请求，会路由到错误的控制器动作，自然会触发权限拦截。

4. 临时调试参数白名单 #

可以在allowed_params里加个日志，看看实际允许的参数有哪些：

private
def allowed_params
  params.require(:user).permit(:role_id, :email, :password, :password_confirmation, :fname, :lname).tap do |permitted|
    Rails.logger.debug "允许的参数：#{permitted.inspect}"
  end
end

然后看服务器控制台的日志，确认你提交的参数是不是都被包含进去了。

快速定位问题的小技巧 #

你可以先临时注释掉授权验证的代码（比如把before_action :verify_admin注释掉），然后测试更新用户。如果能成功，那就是授权逻辑的问题；如果还是被拒，那大概率是参数白名单的问题。

内容的提问来源于stack exchange，提问作者Sagar Gautam