Ассоциация пользователей Rails с комментариями

сначала я бы показал ссылку edit и destroy только владельцу с помощью:

<% if comment.user == current_user %>
  <%= link_to "edit", ... %>
  <%= link_to "delete", ... %>
<% end %>

а затем на всякий случай для умных парней, которые знают, как использовать элемент проверки в chrome, я бы сделал проверку уровня контроллера для владельца комментария:

def edit
  @comment = Comment.find(params[:id])
  if @comment.user == current_user
    @comment.update_attributes(....)
    @message = "Comment updated or created or deleted, depends on method"
  else
    @message = "It's not your comment wise guy :)"
  end
  redirect_to :back, notice: @message
end

то же самое для метода уничтожения и обновления.

!Не готовый к копированию/вставке код.

это то, что я сделал однажды, и это сработало довольно хорошо, вы можете использовать другой метод gem cancan https://github.com/ryanb/cancan и установить возможности для пользователей.

can :edit, Comment, :user_id => user.id
can :destroy, Comment, :user_id => user.id

с настройкой возможностей таким образом только владелец сможет получить доступ к странице редактирования и действиям обновления, уничтожения.

как насчет помощника по разработке 'current_user'? что-то вроде этого:

class Comment < ActiveRecord::Base
  belongs_to :user
end

class CommentsController < ApplicationController
  def edit
    comment = current_user.comments.where(id: params[:id]).first
    if comment.nil?
      ...
      401 error or something else (current user is not creator of this comment)
    else
     ...
    end
   end
end

А также вы можете проверить разрешения в представлении:

<% if comment.user == current_user %>
  <%= link_to "edit comment" ... %>
  <%= link_to "delete comment" ... %>
<% end %>

Чтобы комментарий принадлежал пользователю, в действии create:

comment = current_user.comments.new(params[:comment])

Сделать его редактируемым/удаляемым только для владельца

before_filter :find_comment, only: [:show, :edit, :update, :destroy]
before_filter :authorize_user!, only: [:edit, :update, :destroy]
#...

private

  def find_comment
    @comment = Comment.find params[:id]
  end

  def authorize_user!
    deny_access if @comment.user != current_user # example
  end

Убедитесь, что пользователь вошел в систему с помощью :authenticate_user!, это хорошо, но вы также должны связать комментарий с этим пользователем.

Devise дает вам current_user. Итак, если ваши Comment belongs_to :user и ваши User has_many :comments напишите в своем CommentsController:

def new
  @comment= current_user.comments.new
end

def create
  @comment= current_user.comments.new(params[:comment])
  if @comment.save
    ...
  end
end

def edit
  @comment= current_user.comments.find(params[:id])
end

def update
  @comment= current_user.comments.find(params[:id])
  if @comment.update_attributes(params[:comment])
    ...
  end
end