Si no quieres usar una gema te sugiero una de las siguientes formas:
1) Usar un before_action
Como quieres tener acceso a tu método de autorización en toda la aplicación, creas el método en application_controller.
# app/controllers/application_controller.rb
class ApplicationController < ActionController::Base
# Tus métodos
protected
def authenticate_admin!
unless current_user.present? && current_user.is_admin?
flash[:danger] = "No tienes autorización para entrar en esa sección"
redirect_to root_path
end
end
end
Ahora puedes llamar tu método desde cualquier controlador usando un filtro.
### Ejemplo
class UserController < ActionController::Base
before_action :authenticate_admin!, except: [:new, :create, :show]
end
En el ejemplo, se asegurará que el usuario sea administrador en todos los métodos de UsersController salvo en new, create y show. Obviamente podrías usar el inverso only para que el filtro se aplique solo en las acciones elegidas o no especificar nada en cuyo caso se ejecutará antes de todas las acciones.
2) Usar Clases.
Personalmente prefiero separar en controladores distintos las acciones que puede usar un usuario de las exclusivas de administradores. Esto nos permite crear una clase AdminController y hacer que los controladores para administradores hereden de esa clase. Abajo un ejemplo usando User nuevamente:
# config/routes.rb
# Separo rutas para el controlador normal de user y el de administradores
resources :users, only: [:new, :create, :show]
namespace :admin do
resources :users
end
# app/controllers/users_controllers.rb
class UsersController < ApplicationController
# acciones abiertas a todos los usuarios
def new
end
def create
end
def show
end
end
# app/controllers/admin_controllers.rb
class AdminController < ApplicationController
before_action :authenticate_admin!
private
def authenticate_admin!
unless current_user.signed_in? && current_user.is_admin?
flash[:danger] = "No tienes autorización para entrar en esa sección"
redirect_to root_path
end
end
end
#app/controllers/admin/users_controllers.rb
### Atención: Este controlador hereda de AdminController!
class Admin::UsersController < AdminController
# Ya no necesito el filtro porque lo incluye mi parent_class
# Tu implementación aquí
end
¿Por qué esta última forma es mi favorita?
- Nos permite agregar fácilmente otros métodos comunes a los controladores con acciones para administradores.
- Evita errores de seguridad importantes cuando creamos un método y nos olvidamos de incluirlo en el listado de métodos a los que aplica el filtro para verificar un administrador. Al tenerlos completamente separados es muy fácil de ver si nos estamos equivocando.
- Nos permite mantener nuestras rutas bien RESTful. Así puedo tener una acción show para los usuarios normales y otra para un administrador, sin tener que llamarlo de maneras extrañas (ej: show_admin, o show_for_admin)
- Mantiene los controladores más cortos y enfocados.