cancan skip_authorization_check設計身份驗證

Question

因爲任何人都可以註冊並登錄，並且因爲用戶在登錄後才能識別角色，所以跳過authorization_check for Devise沒有意義嗎？

在這個前提下，我使用這個registrations_controller繼承了Devise註冊控制器並將其放置在控制器目錄中。

class Users::RegistrationsController < Devise::RegistrationsController 
    skip_authorization_check 
end 

改變路線文件：

devise_for :users, :controllers => { :registrations => "registrations" } 

我失去了一些東西，但：

This action failed the check_authorization because it does not authorize_resource. Add skip_authorization_check to bypass this check. 

感謝您的幫助。

Answer 1

最簡單的辦法

check_authorization :unless => :devise_controller? 

如果你有手動將check_authorization在每個控制器在某些時候你會忘記，在你的應用程序打開一個安全漏洞。最好明確白名單控制器，不需要cancan授權。

這是在

https://github.com/ryanb/cancan/wiki/Ensure-Authorization

編輯

class ApplicationController < ActionController::Base 
    check_authorization :unless => :do_not_check_authorization? 
    private 
    def do_not_check_authorization? 
    respond_to?(:devise_controller?) or 
    condition_one? or 
    condition_two? 
    end 

    def condition_one? 
    ... 
    end 

    def condition_two? 
    ... 
    end 
end