首先得先帮你修正代码里的几个小拼写错误（避免后续踩坑），补全缺失的关联逻辑：

# Organization 模型：campains → campaigns
class Organization < ApplicationRecord
  has_many :members, dependent: :destroy
  has_many :users, through: :members
  has_many :campaigns, dependent: :destroy # 修正拼写
  has_many :teams
end

# Campain → Campaign（统一模型命名）
class Campaign < ApplicationRecord
  belongs_to :user
  belongs_to :organization
end

# User 模型补全关联
class User < ApplicationRecord
  has_many :teamables, dependent: :destroy
  has_many :teams, through: :teamables
  has_many :members, dependent: :destroy
  has_many :organizations, through: :members # 补充用户与组织的多对多关联
  has_many :campaigns, dependent: :destroy # 补充用户创建的Campaign关联
end

# 补充Team模型的关联逻辑（假设你还没写全）
class Team < ApplicationRecord
  belongs_to :organization
  has_many :teamables, dependent: :destroy
  has_many :users, through: :teamables
end

接下来针对可见性需求，我会给出两种实现思路：轻量级Scope方案（无需额外gem）和精细化权限方案（适合复杂场景）。

一、轻量级Scope实现基础可见性 #

核心思路是用scope封装可见性规则，在控制器中复用，确保用户只能看到自己有权限的资源。

1. 为Campaign添加可见性Scope #

class Campaign < ApplicationRecord
  belongs_to :user
  belongs_to :organization

  # 返回指定用户能看到的所有Campaign
  scope :visible_to, ->(user) {
    # 规则：用户自己创建的 + 所属组织内的所有Campaign
    where(user_id: user.id).or(where(organization_id: user.organization_ids))
  }
end

2. 为Team添加可见性Scope #

class Team < ApplicationRecord
  belongs_to :organization
  has_many :teamables, dependent: :destroy
  has_many :users, through: :teamables

  # 返回指定用户能看到的Team
  scope :visible_to, ->(user) {
    # 规则：用户已加入的Team + 所属组织内的所有Team（可根据业务调整）
    where(id: user.team_ids).or(where(organization_id: user.organization_ids))
  }
end

3. 在控制器中使用Scope #

class CampaignsController < ApplicationController
  before_action :authenticate_user! # 确保用户已登录

  def index
    # 预加载关联避免N+1查询
    @campaigns = Campaign.visible_to(current_user).includes(:user, :organization)
  end

  def show
    # 找不到时自动返回404，避免越权访问
    @campaign = Campaign.visible_to(current_user).find(params[:id])
  end
end

同样，TeamsController可以照搬这个逻辑：

class TeamsController < ApplicationController
  before_action :authenticate_user!

  def index
    @teams = Team.visible_to(current_user).includes(:organization)
  end

  def show
    @team = Team.visible_to(current_user).find(params[:id])
  end
end

二、精细化权限控制（适合多角色场景） #

如果你的应用有角色区分（比如组织管理员、普通成员、团队负责人），可以通过角色字段+更复杂的Scope实现精准控制：

1. 给Member模型添加角色字段 #

先生成迁移：

rails generate migration AddRoleToMembers role:string:index
rails db:migrate

然后更新Member模型：

class Member < ApplicationRecord
  belongs_to :user
  belongs_to :organization
  enum role: { member: 'member', admin: 'admin' } # 定义角色枚举
end

2. 调整Campaign的可见性Scope #

class Campaign < ApplicationRecord
  belongs_to :user
  belongs_to :organization
  belongs_to :team, optional: true # 假设Campaign可能关联团队

  scope :visible_to, ->(user) {
    # 拆分用户的管理员/普通成员组织ID
    admin_org_ids = user.members.admin.pluck(:organization_id)
    member_org_ids = user.members.member.pluck(:organization_id)

    # 规则：
    # 1. 用户自己创建的Campaign
    # 2. 管理员能看到所属组织的所有Campaign
    # 3. 普通成员只能看到自己创建的 + 自己所在团队的Campaign
    where(user_id: user.id)
      .or(where(organization_id: admin_org_ids))
      .or(where(team_id: user.team_ids))
  }
end

注意事项 #

• 可以根据你的实际业务需求调整Scope里的规则，比如限制普通成员只能看到自己参与的Campaign，而不是整个组织的。
• 敏感操作（比如修改/删除）也要加上权限校验，比如在控制器的update/destroy动作里，检查current_user是否是资源的创建者或组织管理员。

内容的提问来源于stack exchange，提问作者Mišel Ademi