Pundit 是一個用來做身分驗證的工具。對於每一個 Model 來說，目前登入者能不能對這個 Model 進行某種操作，可以被定義在 Policy 上。
Pundit 並不是一個複雜的 gem，但仍然很多人使用，我認為他存在的價值跟 rails 一樣，都是在提出一個收納的概念，教你如何存放你的 code 到正確的位置。
Pundit：我認為所有跟登入者權限相關的東西都應該被儲存在同一個 class（Policy)，同一個資料夾下(Policy)，我創造了一個架構，使得所有按照我架構的寫法的 code 可以少寫一些字，並且讓專案的 code 看起來更乾淨。
如果你想要檢查登入者（user) 有沒有辦法對資料（record) 進行某種操作 (update?)，可以這樣寫：
class PostPolicy < ApplicationPolicy
def update?
user.admin? or not record.published?
end
end
下面的 code 跟 上面的 code 是等價的
class PostPolicy
attr_reader :user, :post
def initialize(user, post)
@user = user
@post = post
end
def update?
user.admin? or not post.published?
end
end
當你在 Controller 的 action 裡面寫到 authorize model 時，Pundit 會幫你看有沒有跟 action 同名的 Policy。透過 currentuser 跟 model 這兩個值去做檢查。
注意：Devise 剛好會生成一個方法叫做是 currentuser。
舉例來說，這個 action:
def update
@post = Post.find(params[:id])
authorize @post
if @post.update(post_params)
redirect_to @post
else
render :edit
end
end
執行 authorize @post 時，等於去執行以下程式：
unless PostPolicy.new(current_user, @post).update?
raise Pundit::NotAuthorizedError, "not allowed to update? this #{@post.inspect}"
end
你也可以自己指定要執行的 policy 方法名稱
authorize @post :update?
如果 policy 不需要 record 變數就可以做，則 record 可以不傳，改傳 record 的 Class
# in controller
def admin_list
authorize Post # we don't have a particular post to authorize
# Rest of controller action
end
# in policy
class PostPolicy < ApplicationPolicy
def admin_list?
user.admin?
end
end
authorize 會回傳傳入的參數，所以可以在 authorize 的時候一邊指定要儲存到哪個變數。
# in controller
def show
@user = authorize User.find(params[:id])
end
policy method 可以讓你取得 policy 物件
policy(@post)
等於
PostPolicy.new(current_user, @post)
Pundit 不只對 model 可以加 policy，也可以對 symbol 加 policy。
# in policy
class DashboardPolicy < Struct.new(:user, :dashboard)
# ...
end
#in controller
authorize :dashboard, :show?
# In views
<% if policy(:dashboard).show? %>
Pundit 對於 Scope 也有處理：
class PostPolicy < ApplicationPolicy
class Scope
attr_reader :user, :scope
def initialize(user, scope)
@user = user
@scope = scope
end
def resolve
if user.admin?
scope.all
else
scope.where(published: true)
end
end
end
def update?
user.admin? or not post.published?
end
end
可以簡寫為
class PostPolicy < ApplicationPolicy
class Scope < Scope
def resolve
if user.admin?
scope.all
else
scope.where(published: true)
end
end
end
def update?
user.admin? or not post.published?
end
end
當你定義好 scope 之後，可以這樣去使用它：
def index
@posts = policy_scope(Post)
end
policy_scope 傳入的參數會是一個可以下 query 的物件，然後會執行相當於以下程式：
def index
@posts = PostPolicy::Scope.new(current_user, Post).resolve
end
如果你不想忘記寫 authorize，那你可以在 ApplicationController 加入下面的程式：
after_action :verify_authorized, except: :index
after_action :verify_policy_scoped, only: :index
這樣的話就會在 controller action 中沒有呼叫 authorize 或 policyscope 的時候跳出錯誤。
如果真的不需要驗證，那你可以在 action 中寫入 skipauthorization。
def show
record = Record.find_by(attribute: "value")
if record.present?
authorize record
else
skip_authorization
end
end
你可以指定 Model 對應的 Policy 名稱
class Post
def self.policy_class
PostablePolicy
end
end
pundit 也有提供 generator
# in bash:
rails g pundit:policy post
你可以做一個 ApplicationPolicy ，讓他被繼承到每一個 Policy， 使得所有的 Policy 都會去檢查是否使用者有登入
class ApplicationPolicy
def initialize(user, record)
raise Pundit::NotAuthorizedError, "must be logged in" unless user
@user = user
@record = record
end
end
然後你就可以在 ApplicationController 用 rescue_from 去接他。
class ApplicationController < ActionController::Base
protect_from_forgery
include Pundit
rescue_from Pundit::NotAuthorizedError, with: :user_not_authorized
private
def user_not_authorized
flash[:alert] = "You are not authorized to perform this action."
redirect_to(request.referrer || root_path)
end
end
或者在你的 config/application.rb 去接他
config.actiondispatch.rescueresponses["Pundit::NotAuthorizedError"] = :forbidden
pundit 也可以用來處理 params
# in policy
class PostPolicy < ApplicationPolicy
def permitted_attributes
if user.admin? || user.owner_of?(post)
[:title, :body, :tag_list]
else
[:tag_list]
end
end
end
# in controller
def update
@post = Post.find(params[:id])
if @post.update_attributes(permitted_attributes(@post))
redirect_to @post
else
render :edit
end
end
你可以針對每個不同的 action 提供不同的 permitted_attributes
class PostPolicy < ApplicationPolicy
def permitted_attributes_for_create
[:title, :body]
end
def permitted_attributes_for_edit
[:body]
end
end
