21、票务系统权限控制实现指南

票务系统权限控制实现指南

1. 限制票务访问

在实现权限时，要确保有权限的用户能访问相应内容，无权限的用户无法访问。目前 TicketsController 的所有操作对所有用户都可用，因为没有进行权限检查。若不处理，无法查看项目的用户仍可请求 TicketsController 内的操作。为解决此问题，需实现权限检查。

1.1 锁定无权限用户

为防止用户查看无权限项目的票务，需锁定 TicketsController 的 show 操作。在 spec/controllers/tickets_controller_spec.rb 文件中编写测试用例，代码如下：

require 'spec_helper'
describe TicketsController do
  let(:user) { create_user! }
  let(:project) { Factory(:project) }
  let(:ticket) { Factory(:ticket, :project => project,
                         :user => user) }
  context "standard users" do
    it "cannot access a ticket for a project" do
      sign_in(:user, user)
      get :show, :id =&