153 lines
8.8 KiB
Markdown
153 lines
8.8 KiB
Markdown
|
КРАТКОЕ ОПИСАНИЕ ACL
|
|||
|
|
====================
|
|||
|
|
|
|||
|
|
Предназначение
|
|||
|
|
--------------
|
|||
|
|
|
|||
|
|
ACL предназначена для контроля прав пользователя на выполнение действий в
|
|||
|
|
системе доступа к моделям по областям видимости.
|
|||
|
|
|
|||
|
|
Возможности
|
|||
|
|
-----------
|
|||
|
|
|
|||
|
|
* Неограниченное количество моделей, над которыми могут выполняться
|
|||
|
|
действия (`target`);
|
|||
|
|
* Неограниченное количество моделей, которые могут выполнять действия над
|
|||
|
|
другими (`acter`);
|
|||
|
|
* Геренатор прав основывающийся на структуре приложения (см. далее);
|
|||
|
|
* Неограниченное количество ролей, которые могут назначаться для `acter` и
|
|||
|
|
содержать любую комбинацию прав и доступных видимостей;
|
|||
|
|
* Объединение прав `acter`-ов на глубину одной модели (см. далее);
|
|||
|
|
* Разграничение назначения ролей по классам (не завершено, на данный
|
|||
|
|
момент не критично);
|
|||
|
|
* Разграничение ролей на глобальные и локальные (см. далее);
|
|||
|
|
|
|||
|
|
Типы моделей
|
|||
|
|
------------
|
|||
|
|
|
|||
|
|
* __Acter__ - модель, которая может выполнять действия, разрешенные ролями,
|
|||
|
|
над другими моделями;
|
|||
|
|
* __Target__ - модель, над которой могут выполняться действия, разрешенные
|
|||
|
|
ролями;
|
|||
|
|
|
|||
|
|
Генератор прав
|
|||
|
|
--------------
|
|||
|
|
|
|||
|
|
Генератор ролей является Rake-task-ом и запускается командой
|
|||
|
|
`rake rights:generate`.
|
|||
|
|
|
|||
|
|
Желательно запускать после добавления нового метода в контроллер для того,
|
|||
|
|
чтобы на этот метод в системе появилось право.
|
|||
|
|
|
|||
|
|
Задание областей видимости моделей
|
|||
|
|
----------------------------------
|
|||
|
|
*Этот функционал скорее всего будет изменяться*
|
|||
|
|
|
|||
|
|
Если модель должна иметь несколько областей видимости, нужно сделать следующее:
|
|||
|
|
|
|||
|
|
* Добавить в модель константу `VISIBILITIES`, в которой задать названия областей
|
|||
|
|
видимости;
|
|||
|
|
* Добавить к таблице моделей поле `visibility:text`;
|
|||
|
|
* Добавить `attr_accessible :visibility` в модель;
|
|||
|
|
* Создать `scope :by_visibility`, принимающий аргументом массив областей
|
|||
|
|
видимости;
|
|||
|
|
|
|||
|
|
После выполнения этих действий на странице редактирования роли появится поле
|
|||
|
|
выбора областей видимости для этой модели.
|
|||
|
|
|
|||
|
|
Пример:
|
|||
|
|
|
|||
|
|
model VisibilitiesExample < ActiveRecord::Base
|
|||
|
|
VISIBILITIES = ['open', 'hidden', 'open_for_admins']
|
|||
|
|
attr_accessible :visibility
|
|||
|
|
|
|||
|
|
scope :by_visibility, lambda {|v| {:conditions => ['visibility in (?)', v]}}
|
|||
|
|
end
|
|||
|
|
|
|||
|
|
Задание типа модели
|
|||
|
|
-------------------
|
|||
|
|
*Этот функционал скорее всего будет изменяться*
|
|||
|
|
|
|||
|
|
Если модель должна иметь возможность быть связанной с другими с использованием
|
|||
|
|
ролей, необходимо произвести следующие действия:
|
|||
|
|
|
|||
|
|
* Добавить в модель декларацию `relationable`, с аргументом `:as`, который
|
|||
|
|
может принимать заначения из `[:object, :target]`. Если модель будет
|
|||
|
|
__acter__-ом, передается `:object`, иначе `:target`
|
|||
|
|
Пример: `relationable :as => :object`
|
|||
|
|
* Добавить в модель связь `belongs_to :global_role, :class_name => 'Role'`
|
|||
|
|
* Добавить в модель связь с моделью `Relation`
|
|||
|
|
* Если модель -- __acter__ и она должна использовать как свои роли, так и
|
|||
|
|
роли из другой модели, необходимо добавить декларацию `inherit_rights_from`
|
|||
|
|
которой аргументом присвоить имя/имена связей с моделями, из которых должны
|
|||
|
|
браться роли.
|
|||
|
|
|
|||
|
|
Примеры:
|
|||
|
|
|
|||
|
|
* Модель, являющаяся __acter__:
|
|||
|
|
|
|||
|
|
class ActerModel < ActiveRecord::Base
|
|||
|
|
relationable :as => :object
|
|||
|
|
|
|||
|
|
belongs_to :global_role, :class_name => 'Role'
|
|||
|
|
has_many :targets, :as => :object, :class_name => 'Relation'
|
|||
|
|
end
|
|||
|
|
* Модель, являющаяся __acter__ и наследующая права другой модели:
|
|||
|
|
|
|||
|
|
class ActerWithInheritableRolesModel < ActiveRecord::Base
|
|||
|
|
relationable :as => :object
|
|||
|
|
ingerit_rights_from :another_acter_model
|
|||
|
|
|
|||
|
|
has_many :another_acters_models
|
|||
|
|
|
|||
|
|
belongs_to :global_role, :class_name => 'Role'
|
|||
|
|
has_many :targets, :as => :object, :class_name => 'Relation'
|
|||
|
|
end
|
|||
|
|
* Модель, являющаяся __target__:
|
|||
|
|
|
|||
|
|
class TargetModel < ActiveRecord::Base
|
|||
|
|
relationable :as => :target
|
|||
|
|
|
|||
|
|
has_many :objects, :as => :target, :class_name => 'Relation'
|
|||
|
|
end
|
|||
|
|
* Модель, являющаяся и __acter__, и __target__:
|
|||
|
|
|
|||
|
|
class ActerAndTargetModel < ActiveRecord::Base
|
|||
|
|
relationable :as => :object
|
|||
|
|
relationable :as => :target
|
|||
|
|
|
|||
|
|
belongs_to :global_role, :class_name => 'Role'
|
|||
|
|
has_many :targets, :as => :object, :class_name => 'Relation'
|
|||
|
|
has_many :objects, :as => :target, :class_name => 'Relation'
|
|||
|
|
end
|
|||
|
|
|
|||
|
|
API для работы с ACL
|
|||
|
|
--------------------
|
|||
|
|
*Этот функционал скорее всего будет изменяться*
|
|||
|
|
|
|||
|
|
### Методы потомков `ActiveRecord::Base`
|
|||
|
|
|
|||
|
|
* Методы классов:
|
|||
|
|
- `relationable` -- устанавливает, кем является модель (acter/target)
|
|||
|
|
- `relationable?` -- может ли иметь связь с ролью/ролями с другими
|
|||
|
|
- `relation_acters` -- список моделей, которые могут иметь роли по отношению к другим (след. метод)
|
|||
|
|
- `relation_targets` -- список моделей, над которыми могут совершаться действия
|
|||
|
|
- `relation_acter? (model)`, `relation_target? (model)` -- является ли тем или другим
|
|||
|
|
- `inherit_rights_from (:relation_name | [:relation_names])` -- права из каких связанных моделей наследовать
|
|||
|
|
- `visible_to (model)` -- все видимые для модели записи, может включаться в цепочку (например, для paginate)
|
|||
|
|
|
|||
|
|
* Методы инстансов:
|
|||
|
|
- `add_role_to(acter, role)` -- привязать acter-а с ролью к текущей записи
|
|||
|
|
- `add_role_on(target, role)` -- привязать текущую модель с ролью
|
|||
|
|
- `roles_to(object)` -- если object == :system, возвращает глобальные роли текущей записи, если передана запись -- то роли текущей модели над записью
|
|||
|
|
- `rights_to(object)` -- аргументы те же, но возвращается список прав, собранный из всех ролей
|
|||
|
|
- `right_to(controller_name, action)` -- возвращает запись с правом на выполнение действия action в контроллере c именем controller_name
|
|||
|
|
- `can_perform? (controller_name, action, target = :system)` -- показывает, может ли текущая модель выполнить действие контроллера над целью
|
|||
|
|
|
|||
|
|
### Методы потомков `ActiveController::Base`
|
|||
|
|
- `can_perform? (target = :system)` -- может ли current_user выполнить текущее действие
|
|||
|
|
- `check_global_rights` -- делает редирект назад, если пользователь вообще не может совершить текущее действие
|
|||
|
|
- `roles_to(object)` -- возвращает список ролей current_user-а по отношению к объекту
|
|||
|
|
- `rights_to(object)` -- возвращает список прав current_user-а по отношению к объекту
|
|||
|
|
|