9.4 删除用户

至此，用户列表页面完成了。符合 REST 架构的用户资源只剩下最后一个了——destroy 动作。本节，我们会先添加删除用户的链接（构思图如图 9.13 所示），然后再编写 destroy 动作，完成删除操作。不过，首先我们要先创建管理员级别的用户，并授权这些用户执行删除操作。

图 9.13：显示有删除链接的用户列表页面构思图

9.4.1 管理员

我们要通过用户模型中一个名为 admin 的属性来判断用户是否具有管理员权限。admin 属性的类型为布尔值，Active Record 会自动生成一个 admin? 方法，返回布尔值，判断用户是否为管理员。添加 admin 属性后，用户数据模型如图 9.14 所示。

图 9.14：添加 admin 布尔值属性后的用户模型

和之前一样，我们要使用迁移添加 admin 属性，并且在命令行中指定其类型为 boolean：

$ rails generate migration add_admin_to_users admin:boolean

这个迁移会在 users 表中添加 admin 列，如代码清单 9.50 所示。注意，在代码清单 9.50 中我们在 add_column 方法中指定了 default: false 参数，意思是默认情况下用户不是管理员。（如果不指定 default: false 参数，admin 的默认值是 nil，也是假值，所以这个参数并不是必须的。不过，指定这个参数，可以更明确地向 Rails 以及代码的阅读者表明这段代码的意图。）

代码清单 9.50：向用户模型中添加 admin 属性的迁移

db/migrate/[timestamp]_add_admin_to_users.rb

class AddAdminToUsers < ActiveRecord::Migration
  def change
 add_column :users, :admin, :boolean, default: false  end
end

然后，像往常一样，执行迁移：

$ bundle exec rake db:migrate

和预想的一样，Rails 能自动识别 admin 属性的类型为布尔值，自动生成 admin? 方法：

$ rails console --sandbox
>> user = User.first
>> user.admin?
=> false
>> user.toggle!(:admin)
=> true
>> user.admin?
=> true

这里，我们使用 toggle! 方法把 admin 属性的值由 false 改为 true。

最后，我们要修改生成示例用户的代码，把第一个用户设为管理员，如代码清单 9.51 所示。

代码清单 9.51：在生成示例用户的代码中把第一个用户设为管理员

db/seeds.rb

User.create!(name:  "Example User",
             email: "[email protected]",
             password:              "foobar",
             password_confirmation: "foobar",
 admin: true) 
99.times do |n|
  name  = Faker::Name.name
  email = "example-#{n+1}@railstutorial.org"
  password = "password"
  User.create!(name:  name,
               email: email,
               password:              password,
               password_confirmation: password)
end

然后重新创建数据库：

$ bundle exec rake db:migrate:reset
$ bundle exec rake db:seed

“健壮参数”再探

你可能注意到了，在代码清单 9.51 中，我们在初始化哈希参数中指定了 admin: true，把用户设为管理员。这么做的后果是，用户对象暴露在网络中了，如果在请求中提供初始化参数，恶意用户就可以发送如下的 PATCH 请求：[10]

patch /users/17?admin=1

这个请求会把 17 号用户设为管理员——这是个严重的潜在安全隐患。

鉴于此，必须只允许通过请求传入可安全编辑的属性。我们在 7.3.2 节说过，可以使用“健壮参数”实现这一限制，即在 params 哈希上调用 require 和 permit 方法：

def user_params
  params.require(:user).permit(:name, :email, :password,
                               :password_confirmation)
end

注意，admin 并不在允许使用的属性列表中。这样就可以避免用户取得网站的管理权。因为这一步很重要，最好再为不可编辑的属性编写一个测试。针对 :admin 属性的测试留作练习。

9.4.2 destroy 动作

完成用户资源的最后一步是，添加删除链接和 destroy 动作。我们先在用户列表页面每个用户后面加入一个删除链接，而且限制只有管理员才能执行删除操作。只有当前用户是管理员才能看到删除链接。视图如代码清单 9.52 所示。

代码清单 9.52：删除用户的链接（只有管理员能看到）

app/views/users/_user.html.erb

<li>
  <%= gravatar_for user, size: 50 %>
  <%= link_to user.name, user %>
  <% if current_user.admin? && !current_user?(user) %>
 | <%= link_to "delete", user, method: :delete,
 data: { confirm: "You sure?" } %><% end %> </li>

注意 method: delete 参数，它指明点击链接后发送的是 DELETE 请求。我们还把链接放在了 if 语句中，这样就只有管理员才能看到删除用户的链接。管理员看到的页面如图 9.15 所示。

图 9.15：显示有删除链接的用户列表页面

浏览器不能发送 DELETE 请求，Rails 通过 JavaScript 模拟。也就是说，如果用户禁用了 JavaScript，那么删除用户的链接就不可用了。如果必须要支持没启用 JavaScript 的浏览器，可以使用一个发送 POST 请求的表单来模拟 DELETE 请求，这样即使禁用了 JavaScript，删除用户的链接仍能使用。[11]

为了让删除链接起作用，我们要定义 destroy 动作（表 7.1）。在 destroy 动作中，先找到要删除的用户，然后使用 Active Record 提供的 destroy 方法将其删除，最后再重定向到用户列表页面，如代码清单 9.53 所示。因为登录后才能删除用户，所以代码清单 9.53 还在 logged_in_user 事前过滤器中添加了 :destroy。

代码清单 9.53：添加 destroy 动作

app/controllers/users_controller.rb

class UsersController < ApplicationController
 before_action :logged_in_user, only: [:index, :edit, :update, :destroy]  before_action :correct_user,   only: [:edit, :update]
  .
  .
  .
  def destroy
 User.find(params[:id]).destroy flash[:success] = "User deleted" redirect_to users_url  end
  .
  .
  .
end

注意，在 destroy 动作中，我们把 find 方法和 destroy 方法连在一起调用，只占了一行：

User.find(params[:id]).destroy

理论上，只有管理员才能看到删除用户的链接，所以只有管理员才能删除用户。但实际上还是存在一个严重的安全漏洞：只要攻击者有足够的经验，就可以在命令行中发送 DELETE 请求，删除网站中的任何用户。为了保障网站的安全，我们还要限制对 destroy 动作的访问，只让管理员删除用户。

和 9.2.1 节和 9.2.2 节的做法一样，我们要使用事前过滤器限制访问。这一次，我们要限制只有管理员才能访问 destroy 动作。我们要定义一个名为 admin_user 的事前过滤器，如代码清单 9.54 所示。

代码清单 9.54：限制只有管理员才能访问 destroy 动作的事前过滤器

app/controllers/users_controller.rb

class UsersController < ApplicationController
  before_action :logged_in_user, only: [:index, :edit, :update, :destroy]
  before_action :correct_user,   only: [:edit, :update]
 before_action :admin_user,     only: :destroy  .
  .
  .
  private
    .
    .
    .
    # 确保是管理员
    def admin_user
 redirect_to(root_url) unless current_user.admin?    end
end

9.4.3 删除用户的测试

像删除用户这种危险的操作，一定要编写测试，确保表现和预期一样。首先，我们把一个用户固件设为管理员，如代码清单 9.55 所示。

代码清单 9.55：把一个用户固件设为管理员

test/fixtures/users.yml

michael:
  name: Michael Example
  email: [email protected]
  password_digest: <%= User.digest('password') %>
 admin: true 
archer:
  name: Sterling Archer
  email: [email protected]
  password_digest: <%= User.digest('password') %>

lana:
  name: Lana Kane
  email: [email protected]
  password_digest: <%= User.digest('password') %>

malory:
  name: Malory Archer
  email: [email protected]
  password_digest: <%= User.digest('password') %>

<% 30.times do |n| %>
user_<%= n %>:
  name:  <%= "User #{n}" %>
  email: <%= "user-#{n}@example.com" %>
  password_digest: <%= User.digest('password') %>
<% end %>

按照 9.2.1 节的做法，我们会把限制访问动作的测试放在用户控制器的测试文件中。和代码清单 8.28 一样，我们要使用 delete 方法直接向 destroy 动作发送 DELETE 请求。我们要检查两种情况：其一，没登录的用户会重定向到登录页面；其二，已经登录的用户，但不是管理员，会重定向到首页。测试如代码清单 9.56 所示。

代码清单 9.56：测试只有管理员能访问的动作 GREEN

test/controllers/users_controller_test.rb

require 'test_helper'

class UsersControllerTest < ActionController::TestCase

  def setup
    @user       = users(:michael)
    @other_user = users(:archer)
  end
  .
  .
  .
  test "should redirect destroy when not logged in" do
    assert_no_difference 'User.count' do
      delete :destroy, id: @user
    end
    assert_redirected_to login_url
  end

  test "should redirect destroy when logged in as a non-admin" do
    log_in_as(@other_user)
    assert_no_difference 'User.count' do
      delete :destroy, id: @user
    end
    assert_redirected_to root_url
  end
end

注意，在代码清单 9.56 中，我们使用 assert_no_difference 方法（代码清单 7.21 中用过）确认用户的数量没有变化。

代码清单 9.56 中的测试确认了未授权的用户（非管理员）不能删除用户，不过我们还要确认管理员点击删除链接后能成功删除用户。因为删除链接在用户列表页面，所以我们要把这个测试添加到用户列表页面的测试中（代码清单 9.44）。这个测试唯一需要一点技巧的代码是，管理员点击删除链接后如何确认用户被删除了。我们可以使用下面的代码实现：

assert_difference 'User.count', -1 do
  delete user_path(@other_user)
end

我们使用代码清单 7.26 中检查创建了一个用户的 assert_difference 方法，不过这一次我们要确认向相应的地址发送 DELETE 请求后，User.count 的变化量是 -1，从而确认用户被删除了。

综上所述，针对分页和删除操作的测试如代码清单 9.57 所示，这段代码既测试了管理员执行的删除操作，也测试了非管理员执行的删除操作。

代码清单 9.57：删除链接和删除用户操作的集成测试 GREEN

test/integration/users_index_test.rb

require 'test_helper'

class UsersIndexTest < ActionDispatch::IntegrationTest

  def setup
    @admin     = users(:michael)
    @non_admin = users(:archer)
  end

  test "index as admin including pagination and delete links" do
    log_in_as(@admin)
    get users_path
    assert_template 'users/index'
    assert_select 'div.pagination'
    first_page_of_users = User.paginate(page: 1)
    first_page_of_users.each do |user|
      assert_select 'a[href=?]', user_path(user), text: user.name
      unless user == @admin
        assert_select 'a[href=?]', user_path(user), text: 'delete',
                                                    method: :delete
      end
    end
    assert_difference 'User.count', -1 do
      delete user_path(@non_admin)
    end
  end

  test "index as non-admin" do
    log_in_as(@non_admin)
    get users_path
    assert_select 'a', text: 'delete', count: 0
  end
end

注意，代码清单 9.57 检查了每个用户旁都有删除链接，而且如果用户是管理员，就不做这个检查（因为管理员旁不会显示删除链接，参见代码清单 9.52）。

现在，删除用户的代码有了良好的测试，而且测试组件应该能通过：

代码清单 9.58：GREEN

$ bundle exec rake test