ruby-on-rails - ERB コードでのアクセス制限

Question

ERB を使用して CMS を構築しようとしています。ERB コードにモデルへの読み取り専用アクセスを与える方法はありますか? たとえば、自分のモデル (Model.all、Model.find_by_slug、Model.find_by_name、Model.other_model.name など) に関する情報を読み込めるようにしたいのですが、できるようにしたくありません。このデータを変更します。データベースを変更するコマンド (Model.save、Model.update、Model.delete、Model.destroy など) を実行する ERB を無効にできますか?

Answer 1

これを試してみてください: http://www.liquidmarkup.org/

Answer 2

Rails コア開発者の Sven Fuchs によるセーフモードがあり、ユーザーをより安全にします。

Liquid (私の目には痛い) や口ひげのようなテンプレート エンジンは、erb よりも習得が容易で、ユーザーに適用するのが簡単かもしれません。

Answer 3

モデルの検索中に :readonly フラグを使用してみてください:

@posts = Post.find(:all, :readonly => true)

保存しようとすると、ReadOnlyRecord 例外がスローされます。しかし、ユーザーは ERB テンプレート内のアプリケーション変数へのアクセスを制限されていないため、テンプレートとして Liquid をお勧めします。