后端【免费下载链接】rails_adminRailsAdmin is a Rails engine that provides an easy-to-use interface for managing your data项目地址https://gitcode.com/gh_mirrors/ra/rails_admin点击查看免费下载导读RailsAdmin 的newNew动作负责渲染新建表单create分支负责接收 POST 请求并保存记录二者共同构成创建数据的完整流程。本指南围绕 docs/create-action.md 中给出的 CanCanCan 授权示例讲解 create/new 动作的授权键authorization key映射规则、alias_action的等价关系并结合仓库源码说明默认属性预填充attributes_for/default_attributes的底层机制帮助你在实际项目中正确配置创建权限、避免误伤现有授权。一、create 动作与 new 视图一个动作的两副面孔在 RailsAdmin 中新建记录并非拆成两个独立动作而是由new动作New类同时承担 GET 与 POST 两种 HTTP 方法。源码位于 lib/rails_admin/config/actions/new.rb其关键定义为register_instance_option :collection do true end register_instance_option :http_methods do %i[get post] # NEW / CREATE endcollection为true说明这是模型集合级collection动作路由形如/admin/model_name/newhttp_methods为%i[get post]GET 对应渲染新建表单NEWPOST 对应实际保存CREATE控制器块controller内部通过request.get?与request.post?分流两种处理路径。同时新建视图对应的表单渲染模板是 app/views/rails_admin/main/new.html.erb它通过rails_admin_form_for生成表单并调用form.generate action: :create以:create作为提交动作标识。而新建视图的配置节section则定义在 lib/rails_admin/config/sections/create.rbclass Create RailsAdmin::Config::Sections::Edit end如 docs/create.md 所述create配置节用于新建new视图它继承自base节与edit节因此字段分组、编辑控件等配置均与编辑视图保持一致。二、授权键映射为何:create与:new等价每个动作都通过authorization_key暴露其授权键默认取动作本身的key。查看 lib/rails_admin/config/actions/base.rb# For CanCanCan and the like register_instance_option :authorization_key do key.to_sym end由于New动作的类名经过demodulize.underscore后得到:new其默认授权键就是:new。然而在 CanCanCan 中new与create是一对标准的视图动作 / 持久化动作组合——这也是 docs/create-action.md 中示例的核心前提。原文档给出的等价关系如下# with alias_action :update, :destroy, :create, :to :write can :manage, :all # includes can :write, :all # includes can :create, Model # equals can :new, Model # includes can :create, Model, { default_attributes }逐行解读alias_action :update, :destroy, :create, :to :write将update、destroy、create三个动作统一归并为:write这一个超动作。此后can :write, Model就等于同时授予了这三个动作的权限避免逐条书写。can :manage, :all包含can :write, :allmanage是 CanCanCan 内置的管理全部别名它包含:write进而包含:create、:update、:destroy。因此写can :manage, :all时所有模型的新建权限自然被覆盖。can :create, Model等价于can :new, ModelCanCanCan 内建了:new到:create的别名。因为 RailsAdmin 的 New 动作授权键是:new而新建记录本质是:create二者在授权判定中等价——授予:create即可覆盖:new。can :create, Model, { default_attributes }第三个参数是条件哈希它不仅把:create权限限定为仅当满足这些条件时还同时充当默认属性的来源见第三节。这份等价链的完整应用见 docs/cancancan.md 中 RailsAdmin 各动作的授权键清单# Performed checks for collection scoped actions: can :index, Model # included in :read can :new, Model # included in :create即对集合级动作来说RailsAdmin 检查:new而该权限被包含在:create中。三、attributes_for 与 default_attributes权限条件如何变成初始字段值can :create, Model, { default_attributes }中的条件哈希除了做条件判定还会在 GET 渲染新建表单时作为默认值预填充到新对象上。这条链路涉及三个环节环节 1New 动作的 GET 分支调用 attributes_for。见 lib/rails_admin/config/actions/new.rbobject abstract_model.new action action.with(action.bindings.merge(object: object)) authorization_adapter.attributes_for(:new, abstract_model).each do |name, value| object.send(#{name}, value) end即创建空对象后立即从授权适配器取attributes_for(:new, abstract_model)把返回的每个属性赋值到对象上随后才渲染表单——这样表单里会带上这些预填充值。环节 2授权适配器委托给 CanCanCan 的 Ability。见 lib/rails_admin/extensions/cancancan/authorization_adapter.rb# This is called in the new/create actions to determine the initial attributes for new # records. It should return a hash of attributes which match what the user # is authorized to create. def attributes_for(action, abstract_model) controller.current_ability.attributes_for(action, abstract_model.model) end它调用Ability#attributes_for。当你在 Ability 中写can :create, Model, { default_attributes }时CanCanCan 会把default_attributes这个条件哈希同时返回为被授权的初始属性。环节 3POST 保存前再次 authorize。同一文件中的authorize方法在每次控制器动作中执行def authorize(action, abstract_model nil, model_object nil) return unless action action, subject resolve_action_and_subject(action, abstract_model, model_object) controller.current_ability.authorize!(action, subject) endNew 动作的 POST 分支在assign_attributes之后、save之前调用authorization_adapter.authorize(:create, abstract_model, object)见 lib/rails_admin/config/actions/new.rb即用实际要保存的对象做最终授权判定。若用户在表单里篡改了未被授权的字段超出条件哈希约束授权会在此处失败并抛出CanCan::AccessDenied。四、完整实战配置从 Ability 到 RailsAdmin 初始器综合 docs/cancancan.md 与 create-action 的授权示例一个可运行的最小配置如下。第一步在 RailsAdmin 初始器中启用 CanCanCan 授权。# config/initializers/rails_admin.rb RailsAdmin.config do |config| config.authorize_with :cancancan end注意启用后所有访问默认失败必须在 Ability 中显式授予:access访问 RailsAdmin与:read访问 dashboard否则连登录后的首页都无法进入。第二步定义 Ability 并体现 create/new 等价关系。class Ability include CanCan::Ability def initialize(user) can :access, :rails_admin # grant access to rails_admin can :read, :dashboard # grant access to the dashboard can :read, :all # allow everyone to read everything return unless user user.admin? if user.role? :superadmin can :manage, :all # includes :write, :create, :new elsif user.role? :manager can :create, Product # equals can :new, Product can :create, User, { approved: true } # 预设 approved: true并限定只能创建 approved 的记录 end end end第三步可选自定义授权键。默认授权键即动作名:new。若业务上希望用:create作为 RailsAdmin 的检查键可在config.actions中覆盖RailsAdmin.config do |config| config.actions do new do authorization_key :create end end end五、从源码看完整的 NEW / CREATE 请求流程将以上机制串起来一次新建记录的完整调用链如下依据 lib/rails_admin/config/actions/new.rb阶段HTTP 方法关键步骤授权相关调用渲染表单GETobject abstract_model.new→ 预填充属性 →sanitize_params_for!(xhr? ? :modal : :create)→ 渲染模板attributes_for(:new, abstract_model)保存记录POST重新new对象 → 清洗参数 →assign_attributes→saveauthorize(:create, abstract_model, object)其中sanitize_params_for!用于按:create节含modal变体过滤允许写入的属性。保存成功后还会通过auditing_adapter.create_object(object, abstract_model, _current_user)写入审计日志若启用了 PaperTrail 等适配器并对 HTML 请求重定向到成功页、对 JSON 请求返回{id, label}。视图侧表单由 app/views/rails_admin/main/new.html.erb 渲染% rails_admin_form_for object, url: new_path(model_name: abstract_model.to_param), as: abstract_model.param_key, html: { multipart: true, class: main, data: { title: page_name } } do |form| % % form.generate action: :create % % end %六、文案与面包屑new 动作的 I18n 键新建按钮、标题、面包屑等文案由动作的 I18n 键驱动默认键为动作名:new。相关文案定义在 config/locales/rails_admin.en.ymlnew: title: New %{model_label} menu: Add new breadcrumb: New link: Add a new %{model_label} done: created若需要自定义可参考 docs/actions.md 中的说明通过i18n_key覆盖默认键再在项目自己的 locale 文件中补充title/menu/breadcrumb/link条目。七、测试验证与延伸阅读集成测试 spec/integration/actions/new_spec.rb 对 New 动作的页面渲染、表单提交及路由行为进行了验证可作为你理解该动作契约的参考。若要在项目中开发自定义的创建类动作可参考动作基类选项清单lib/rails_admin/config/actions/base.rb自定义动作开发指南docs/custom-action.md动作注册与个性化配置docs/actions.mdCanCanCan 集成整体说明docs/cancancan.md。小结RailsAdmin 的 create/new 是一体化动作GET 负责渲染表单、POST 负责保存记录授权键默认为:new但在 CanCanCan 中与:create等价。理解alias_action的归并、can :create, Model, { default_attributes }的双重语义条件限制 默认属性预填充以及attributes_for→authorize的完整调用链是正确配置创建权限、保障数据安全的关键。建议在实际项目中优先使用can :manage, :all或alias_action归并授权再针对需要约束的模型追加带条件哈希的:create规则。赞分享后端【免费下载链接】rails_adminRailsAdmin is a Rails engine that provides an easy-to-use interface for managing your data项目地址https://gitcode.com/gh_mirrors/ra/rails_admin点击查看免费下载相关推荐解决ETCD Keeper常见问题连接失败、权限错误与数据同步方案解决ETCD Keeper常见问题连接失败、权限错误与数据同步方案 ETCD Keeper是一款高效的etcd Web UI客户端工具帮助开发者轻松管理etHyperswitch授权控制支付操作权限控制Hyperswitch授权控制支付操作权限控制 引言 在现代支付系统中细粒度的权限控制是确保系统安全性和合规性的关键要素。Hyperswitch作为开源的支后端金融科技MiyooCFW硬件兼容性清单BittBoy/Powkiddy V90/Q90/Q20机型对比MiyooCFW硬件兼容性清单BittBoy/Powkiddy V90/Q90/Q20机型对比 MiyooCFW作为一款功能强大的开源定制固件专为BittB嵌入式智能硬件上一篇PDF 字体嵌入用 PDF 补丁丁一次修好中文方块与乱码下一篇当笔记从收藏变成网络一套开源Obsidian模板的知识管理改造全记录创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考