17

強力なパラメーターを使用する標準の RESTful コントローラーがあります。

class UsersController < ApplicationController
  respond_to :html, :js

  def index
    @users = User.all
  end

  def show
    @user = User.find(params[:id])
  end

  def new
    @user = User.new
  end

  def edit
    @user = User.find(params[:id])
  end

  def create
    @user = User.new(safe_params)

    if @user.save
      redirect_to @user, notice: t('users.controller.create.success')
    else
      render :new
    end
  end

  def update
    @user = User.find(params[:id])

    if @user.update_attributes(safe_params)
      redirect_to @user, notice: t('users.controller.update.success')
    else
      render :edit
    end
  end

  def destroy
    @user = User.find(params[:id])

    if current_user != @user
      @user.destroy
    else
      flash[:error] = t('users.controller.destroy.prevent_self_destroy')
    end
    redirect_to users_url
  end

  private

  def safe_params
    safe_attributes =
      [
        :first_name,
        :last_name,
        :email,
        :password,
        :password_confirmation,
      ]
    if current_user.is?(:admin)
      safe_attributes += [:role_ids]
    end
    params.require(:user).permit(*safe_attributes)
  end
end

私config/initializersはファイルを持っていますstrong_parameters.rb

ActiveRecord::Base.send(:include,  ActiveModel::ForbiddenAttributesProtection)

CanCan'sload_and_authorize_resourceに簡単な呼び出しを追加すると、

1) UsersController POST create with invalid params re-renders the 'new' template
 Failure/Error: post :create, user: @attr
 ActiveModel::ForbiddenAttributes:
   ActiveModel::ForbiddenAttributes
 # ./spec/controllers/users_controller_spec.rb:128:in `block (4 levels) in <top (required)>'

テストのどこ@attrで次のように定義されていますか

  before(:each) do
    @attr =
      {
        first_name: "John",
        last_name: "Doe",
        email: "user@example.com",
        password: "foobar",
        password_confirmation: "foobar"
      }
  end

テストでは、ユーザーにログインし、管理者になるために必要な役割を与えるようにすべてを適切にセットアップしたので、そうではないことがわかりました。これにより ForbiddenAttributes がトリガーされる理由がわかりません。私が見落としていたのは単純なことだと確信しています。他の誰かがこの問題に遭遇し、解決策を見つけましたか?

4

2 に答える 2

20

これは、before_filterを使用してプリロードしない場合、CanCanが要求されたリソースに対して独自のgetterメソッドを使用するためだと思います。したがって、これをコントローラーに追加すると、機能するはずです。

class UsersController < ApplicationController
  before_filter :new_user, :only => [:new, :create]

  load_and_authorize_resource

  def new_user
    @user = User.new(safe_params)
  end
end

（そして、編集/更新アクションについても同じことを行います。）

于 2012-10-06T03:39:08.480 に答える