23、Rails 应用安全：授权、测试与漏洞防范

Rails 应用安全：授权、测试与漏洞防范

1. 授权插件的使用

在应用程序中，角色权限的管理是保障安全的重要环节。授权插件能够在控制器中直接分配角色权限，它使用一种类似自然语言的迷你语言，而非纯 Ruby 代码来解析权限设置。

1.1 权限设置示例

以下代码展示了如何在控制器中设置权限，确保只有管理员可以编辑 Quips，普通用户只能查看：

# 定义只读操作
READ_ACTIONS = %w(index list show)
# 允许管理员和普通用户执行只读操作
permit 'admin or mortal', :only=>READ_ACTIONS
# 仅允许管理员执行除只读操作外的其他操作
permit 'admin', :except=>READ_ACTIONS

1.2 授权保护测试

可以通过将测试数据加载到开发数据库来测试授权保护是否生效。具体步骤如下：
1. 从 rails_xt 目录运行 rake db:fixtures:load 命令，该命令会清空开发数据库并将测试数据填充进去。
2. 运行 script/server 启动服务器。
3. 访问 /quips 页面。如果以 Quentin 身份登录，将拥有读写权限；以 Aaron 身份登录，则只有只读权限。

1.3 授权插件与 Acegi 的比较

Acegi 和授权插