我有一個應用程序，我正在寫軌道3 W /康康和設計。我很好奇，從安全的角度來看，授權控制器上的後置操作是必要的還是有用的？假設我所有的控制器動作都需要認證w/devise（即用戶必須登錄）。 我可以看到爲什麼我需要通過cancan對我的控制器使用GET的操作進行授權，因爲用戶可以簡單地輸入他們希望自由訪問的url並且必須鎖定。但是，對於帖子，用戶必須從表單發佈數據，該表單通過令牌防止xss攻擊。
型號/ ability.rb class Ability
include CanCan::Ability
def initialize(user)
user ||= User.new # guest user
if user.role? :admin
can :manage, :all
else
can :read, :
如何將cancan，inherited_resources和單個表繼承一起使用？ 我有類似的代碼這個例子： class Contact < ActiveRecord::Base; end
class Person < Contact; end
class Company < Contact; end
class Ability
include CanCan::Ability