如何通过Cancancan限制User模型中abc方法仅管理员可执行？

Cancancan完全支持自定义模型方法的权限控制，之前没生效大概率是因为你没在正确的位置添加权限校验，或者权限规则定义有问题。下面一步步来解决：

1. 确保User模型有管理员标识 #

首先你需要User模型有一个区分管理员的字段，比如admin:boolean。如果还没有，先生成迁移添加这个字段：

rails generate migration AddAdminToUsers admin:boolean
rails db:migrate

记得把管理员用户的admin属性设为true，普通用户设为false。

2. 在Ability.rb中定义权限规则 #

打开app/models/ability.rb，按照你的需求配置权限：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # 处理未登录的访客用户

    if user.admin?
      # 管理员可以执行User模型的abc和xyz方法
      can :abc, User
      can :xyz, User
      # 如果你想让管理员拥有所有User模型的操作权限，也可以用 can :manage, User
    else
      # 普通用户只能执行xyz方法
      can :xyz, User
    end
  end
end

3. 在调用模型方法的地方添加权限校验 #

Cancancan不会自动拦截模型方法的直接调用，你需要在控制器或视图里手动校验权限：

控制器中校验 #

比如你有一个控制器动作需要调用abc方法：

class UsersController < ApplicationController
  def run_abc
    @user = User.find(params[:id])
    # 校验当前用户是否有权限执行abc方法，没有的话会抛出CanCan::AccessDenied异常
    authorize! :abc, @user
    @user.abc
    # 后续业务逻辑
  end

  def run_xyz
    @user = User.find(params[:id])
    authorize! :xyz, @user
    @user.xyz
    # 后续业务逻辑
  end
end

视图中控制显示 #

如果是在视图里提供执行方法的入口，可以用can?判断是否显示：

<% if can?(:abc, @user) %>
  <%= link_to '执行ABC方法', run_abc_user_path(@user) %>
<% end %>

<%= link_to '执行XYZ方法', run_xyz_user_path(@user) %>

排查之前不生效的可能原因 #

• 你可能没有在调用abc方法前添加authorize!或can?校验，Cancancan不会自动拦截模型内部方法的调用，必须手动触发权限检查。
• 检查Ability.rb里的user.admin?判断是否正确，比如你的管理员字段是不是叫admin，有没有给用户正确设置admin属性。
• 确保动作名称和模型方法名称一致（这里是abc和xyz），不要写错单词。

这样配置后，普通用户就无法执行abc方法了，只有管理员可以；而xyz方法则对两者都开放。

内容的提问来源于stack exchange，提问作者Harini