Толстые контроллеры в рельсах

Я согласен с вами, что такие функции авторизации, как is_admin и correct_user, немного пахнут кодом. Я бы удалил их и немного лучше справился с этим с помощью гем, который я часто использую, под названием CanCan.

Это позволяет вам переместить все правила авторизации из ваших контроллеров в манифест (т. е. модель возможностей), требуя от ваших контроллеров только инициировать проверку авторизации через authorize_resource вызов в вашем контроллере. Затем вы можете обрабатывать простые перенаправления в своем ApplicationController:

class ApplicationController < ActionController::Base
  rescue_from CanCan::AccessDenied do |exception|
    if current_user
      redirect_to signin_url, :alert => exception.message
    else
      redirect_to root_path, :alert => exception.message
    end
  end
end

Кроме этого, я бы переместил все вызовы @user = User.find(params[:id]) в фильтр before_filter и очистил ваши отступы и порядок действий (должен быть index, new, create, show, edit, update, destroy), и я думаю, что ваш контроллер был бы хорош и тощий.

Честно говоря, я не могу точно сказать, должна ли авторизация/аутентификация быть работой модели или контроллера, и люди дадут вам разные ответы на этот счет. Это как серая зона.

Так что я предпочитаю придерживаться соглашений Rails, так как за все эти годы они доказали свою надежность. Ваши контроллеры кажутся мне хорошими, я бы не назвал их толстыми. Конечно, вы можете переместить эти частные методы в помощник.

Для любой логики авторизации я бы фактически удалил ее из уровня контроллера и переместил на уровень «политики».

используя этот гем: https://github.com/NullVoxPopuli/skinny_controllers он дает вам два дополнительных слоя

• operations
  • where business logic goes
• policies
  • where authorization goes

Пример из Readme:

module EventOperations
  class Read < SkinnyControllers::Operation::Base
    def run
      # the business logic here is to only check if we will allow this model
      # to be returned
      model if allowed?
    end
  end
end



class EventPolicy < SkinnyControllers::Policy::Base
  # allowed? from the operation delegates to this method
  # here, you could do whatever logic you need to check if the operation
  # is allowed
  def read?(o = object)
    o.is_accessible_to?(user)
  end
end