ログイン中のユーザーが他ユーザーの編集ページにアクセスできないように制限をかけたい

Question

ログイン中のユーザーが他ユーザーの編集ページにアクセスできないように制限をかけたいのですが、解決できず他のユーザーの編集ページのURLを直接入力すると移遷できてしまいます。

app/views/controllers/prototypes_controller.rb

class PrototypesController < ApplicationController
  before_action :authenticate_user!, only: [:new, :edit, :destroy]
  
  def index
    @prototypes = Prototype.all
  end

  def new
    @prototype = Prototype.new
  end

  def create
    @prototype = Prototype.new(prototype_params)
    if @prototype.save
      redirect_to root_path
    else
      render :new
    end
  end

  def show
    @prototype = Prototype.find(params[:id])
    @comment = Comment.new
    @comments = @prototype.comments.includes(:user)
  end

  def edit
    @prototype = Prototype.find(params[:id])
    unless user_signed_in?
      redirect_to root_path
    end
  end

  def update
    @prototype = Prototype.find(params[:id])
    if @prototype.update(prototype_params)
      redirect_to prototype_path
    else
      render :edit
    end
  end

  def destroy
    prototype = Prototype.find(params[:id])
    if prototype.destroy
      redirect_to root_path
    end
  end

  private
  def prototype_params
    params.require(:prototype).permit(:concept, :image, :title, :catch_copy).merge(user_id: current_user.id)
  end
end

app/views/controllers/users_controller.rb

class UsersController < ApplicationController
  def show
    @user = User.find(params[:id])
    @prototypes = @user.prototypes
  end
end

試してみたこと

1つ目のprototypes_controller.rbのファイルでauthenticate_user!メソッドを使い、editアクションにもunlessを使って制限をかけたつもりですが、何か抜けているのでしょうか。

Comments

[m.ts10806]

設計としては「編集中である」というのをいつどこに持たせ、
いつどこでどう更新していますか？

[lwbox]

恐縮ですが、具体的な流れといったところでしょうか？

[lwbox]

解決しました。大丈夫です。

[m.ts10806]

「設計」です。

[m.ts10806]

どんな小さなアプリケーションでも設計なしで取り組むのはあり得ない。
手書きでも画面とデータとイベントくらいは考えておかないと途中でグチャグチャになる。
「考えながら書く」ではなく「考えてから書く」

Answer 1

結論としては以下のコードになりました。

class PrototypesController < ApplicationController
  before_action :authenticate_user!, only: [:new, :edit, :destroy, :update]
  before_action :move_to_index, only: [:edit, :update]

  def index
    @prototypes = Prototype.all
  end

  def new
    @prototype = Prototype.new
  end

  def create
    @prototype = Prototype.new(prototype_params)
    if @prototype.save
      redirect_to root_path
    else
      render :new
    end
  end

  def show
    @prototype = Prototype.find(params[:id])
    @comment = Comment.new
    @comments = @prototype.comments.includes(:user)
  end

  def edit
    @prototype = Prototype.find(params[:id])
    unless user_signed_in?
      redirect_to root_path
    end
  end

  def update
    @prototype = Prototype.find(params[:id])
    if @prototype.update(prototype_params)
      redirect_to prototype_path
    else
      render :edit
    end
  end

  def destroy
    prototype = Prototype.find(params[:id])
    if prototype.destroy
      redirect_to root_path
    end
  end

  private
  def prototype_params
    params.require(:prototype).permit(:concept, :image, :title, :catch_copy).merge(user_id: current_user.id)
  end

  def move_to_index
    unless user_signed_in? == current_user.name
      redirect_to root_path
    end
  end
end

遠回りになりますが、３行目のbefore_actionをもう一つ加えました。そしてそのアクションを最下部で定義し、アクションを追記しました。
今回のポイントとしては、user_signed_in? だけだとログインしている全てのユーザーということになってしまうのでcurrent_user.name を条件式に追加し、ふたつ揃わないとトップページにリダイレクトするように設定しないといけなかったことです。

Answer 2

結論としては以下のコードになりました。

class PrototypesController < ApplicationController
  before_action :authenticate_user!, only: [:new, :edit, :destroy, :update]
  before_action :move_to_index, only: [:edit, :update]

  def index
    @prototypes = Prototype.all
  end

  def new
    @prototype = Prototype.new
  end

  def create
    @prototype = Prototype.new(prototype_params)
    if @prototype.save
      redirect_to root_path
    else
      render :new
    end
  end

  def show
    @prototype = Prototype.find(params[:id])
    @comment = Comment.new
    @comments = @prototype.comments.includes(:user)
  end

  def edit
    @prototype = Prototype.find(params[:id])
    unless user_signed_in?
      redirect_to root_path
    end
  end

  def update
    @prototype = Prototype.find(params[:id])
    if @prototype.update(prototype_params)
      redirect_to prototype_path
    else
      render :edit
    end
  end

  def destroy
    prototype = Prototype.find(params[:id])
    if prototype.destroy
      redirect_to root_path
    end
  end

  private
  def prototype_params
    params.require(:prototype).permit(:concept, :image, :title, :catch_copy).merge(user_id: current_user.id)
  end

  def move_to_index
    unless user_signed_in? == current_user.name
      redirect_to root_path
    end
  end
end

遠回りになりますが、３行目のbefore_actionをもう一つ加えました。そしてそのアクションを最下部で定義し、アクションを追記しました。
今回のポイントとしては、user_signed_in? だけだとログインしている全てのユーザーということになってしまうのでcurrent_user.name を条件式に追加し、ふたつ揃わないとトップページにリダイレクトするように設定しないといけなかったことです。