登入 | English

感謝您對「自由軟體鑄造場」的支持與愛護，十多年來「自由軟體鑄造場」受中央研究院支持，並在資訊科學研究所以及資訊科技創新研究中心執行，現已完成階段性的任務。原網站預計持續維運至 2021年底，網站內容基本上不會再更動。本網站由 Denny Huang 備份封存。
也紀念我們永遠的朋友李士傑先生（Shih-Chieh Ilya Li）。

Cancan 實作角色權限設計的最佳實踐 (1)

建立日期 2012-08-08 10:40 最近更新在 2013-05-15 13:03 作者是 XDite

◎ 本文原載 XDite 網站，原文章連結

權限存取設計是在開發 Application 中相當讓人棘手的一個題目。

在一個網站開始建設的初期，通常這樣的問題並不會浮現，畢竟一般人的需求大半只會有 user 和 admin 兩種角色。但是隨著網站長大，更多的生意需求浮現，第三種角色的出現，通常就會把原本乾淨的 code 弄得骯髒不堪。

多種角色的權限設計難題

當只有 user 和 admin 的情況下，你可以在 view 裡面單純的做出這樣的設計

＜% if user.is_admin ? %＞
  ＜%= link_to("Admin Pannel", admin_panel_path ) %＞
＜% end %＞

並且在 controller 裡面加上權限判斷

class Admin::ArticleController < ApplicationController
  before_filter :require_is_admin
end

但一段時間之後，User Story 被加進了這樣的需求：

使用者可以被設定為「editor」
擁有「editor」角色的使用者，可以進入 admin 後台發表、編輯文章
擁有「edtior」角色的使用者，進入 admin 後台內的活動範圍僅限縮在文章後台內
擁有「edtior」角色的使用者，進入 admin 後台內，不可以看到其他後台選項。

身為開發者的你，要如何在現有後台內加入這樣的設計？

不用實際動手寫也知道，若如以往使用 if / else 的設計，Helper / Controller / View 鐵定變成一團血肉模糊。

抱怨不能解決問題，但世界上是否存在乾淨的解答？

Rule-engine based authorization library：Cancan

答案就是：「Rule Engine」。

「針對多種條件執行多種動作」，此類的使用者需求，無論是使用 if / else，甚至是 case when，架構還是不免會一團混亂。與其承襲舊思路，不如啟用新想法「Rule Engine」實作：預先設計撰寫一套邏輯規則引擎，而後程式針對預設的規則進行邏輯判斷後執行。

而「角色權限」的設計需求上，正特別適合用 Rule Engine 這樣的觀念去建構。Rails 界知名的 authorization library cancan 正是以此作為基礎。

Cancan 可以做到的：介面單純化

cancan 希望做到的是，把權限判定的處理部分從 Helper / Controller / View 裡面，全部移到 app/models/ability.rb 進行判定。也因此可以做到

View 只需要判斷是否可以執行動作，而不必問是否有權限

＜% if can? :update, @article %＞
  ＜%= link_to "Edit", edit_article_path(@article) %＞
＜% end %＞

Controller 不需要手動判斷是否具有權限

class ArticlesController < ApplicationController
  authorize_resource

  def show
    # @article is already authorized
  end
end

但驚人的是 view 的權限會是與 controller 的權限判定規則 卻是一致的。（以往「自刻」權限判定，往往加了 view 卻會忘記 controller, 加了 controller 卻會忘記 view ）

Cancan 希望做到的：權限中心化管理

而是否有權限存取，則全交給 app/models/ability.rb 去判斷處理。

class Ability
  include CanCan::Ability

  def initialize(user)

    if user.blank?
      # not logged in
      cannot :manage, :all
      basic_read_only
    elsif user.has_role?(:admin)
      # admin
      can :manage, :all
    elsif user.has_role?(:member)

      can :create, Topic
      can :update, Topic do |topic|
        (topic.user_id == user.id)
      end

      can :destroy, Topic do |topic|
         (topic.user_id == user.id)
      end

      basic_read_only
    else
      # banned or unknown situation
      cannot :manage, :all
      basic_read_only
    end


  end

  protected

  def basic_read_only
    can :read,    Topic
    can :list,    Topic
    can :search,  Topic
  end
end