如何基于多对多关系配置Cancancan实现同公司用户管理权限

这个问题我之前也碰到过，核心原因是User模型的关联逻辑和Device这类模型不一样：对于Device，你是在找「属于当前用户所在公司的设备」，但对于User，你要找的是「和当前用户共享至少一家公司的用户」——原来的写法其实只匹配了用户自己，因为每个用户的公司列表里肯定包含自己。

下面给你两种可行的解决方案：

方案一：用Block条件（直观易读） #

在你的Ability类里，用块逻辑判断目标用户是否和当前用户有共同的公司：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # 处理未登录情况

    # 允许管理同公司的所有用户
    can :manage, User do |target_user|
      # 检查目标用户的公司中是否存在当前用户所在的公司
      target_user.companies.exists?(id: user.company_ids)
    end

    # 其他权限规则...
  end
end

这种方式优点是代码直观，容易理解，适合简单场景；缺点是在批量查询（比如列表页）时可能会产生N+1查询，需要注意添加预加载（比如在控制器里用User.includes(:companies)）。

方案二：用SQL条件（高效适合批量操作） #

如果你的系统用户量较大，推荐用SQL EXISTS子查询的方式，性能更好：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new

    can :manage, User, <<-SQL
      EXISTS (
        SELECT 1 FROM company_users cu1
        JOIN company_users cu2 ON cu1.company_id = cu2.company_id
        WHERE cu1.user_id = :user_id AND cu2.user_id = users.id
      )
    SQL
  end
end

这个SQL的逻辑是：通过company_users表关联，找到所有和当前用户（cu1.user_id = :user_id）共享同一公司（cu1.company_id = cu2.company_id）的用户（cu2.user_id = users.id）。这种方式会把条件直接整合到数据库查询中，避免N+1问题，适合列表分页、筛选等场景。

额外提示：结合角色限制 #

如果只有特定角色（比如admin）才能管理同公司用户，可以加上角色判断：

if user.admin?
  can :manage, User do |target_user|
    target_user.companies.exists?(id: user.company_ids)
  end
end

内容的提问来源于stack exchange，提问作者P.Bra