# Step-to-Rails-Expert.rb 第6回
## 本日の流れ
### 自己紹介
* お名前
* 普段やっていること
* 今日聞きたいこと、意気込みなど
#### 参加者のお名前（時計回り）
* ebi（主催者）
[LICTOOR株式会社](http://lictoor.com)でwebエンジニア。普段はRubyやRailsを使っています。
初期プロダクトで導入するときどういう観点で入れているか聞きたい。
* two_sann
社内でRailsを使っています。
Rails version upに苦戦中。
認可Gemは使ったことがないので色々聞きたい
* sinsokuさん
groovesさん所属。forkwellを作っている。
昔cancancanを使っていたが今は・・・
* ohtaさん
sansanさん所属。前職ではcancancan使っていた。
今は使っていない。データモデリング・テーブル設計について聞きたい。

### 本編
* 議論
* 議題が終了した場合はフリートーク＆もくもく
### 次回のテーマリクエスト・感想等（あれば）
### 締め
* ebi
GEM導入の観点について聞くことができてよかった。
* two_san
bankenの話や、運用周りの話を聞けてよかった。
* sinsokuさん
bankenとかの話を聞けてよかった。
* ohtaさん
gem使っていない人の話を聞けてよかった。

#### 感想・次回のテーマリクエスト

## 議事メモ
### 書き方
* h6タグ（######）で書き込んでください。
* もし該当する内容がない場合は、h6タグ以外でも適宜追記してもらって構いません。
* 自分の書いた内容以外は削除・変更しないようお願いします。
### テーマ: 認可
#### Gem
##### [CanCanCan](https://github.com/CanCanCommunity/cancancan)
###### 認証系Gemとの相性は？（ebi）
>First, set up some authentication (such as Devise or Authlogic)
>
と記載あるので、deviseとauthlogicは使えるはず。
cancancanはAbilityクラスとcurrent_userメソッド存在を前提としているが、wikiの[Changing Defaults](https://github.com/CanCanCommunity/cancancan/wiki/changing-defaults)に記載されている方法にて対応できる

すごいdslって感じw
Abilityクラスの肥大化。デフォルトでabilityクラスを分離するような機能がない。みんな付け足すけど減らさないw

逆に、「リソースが増えない」「権限がある程度の規模」などの前提が満たされている場合は有利になるのでは。

権限のDB設計
ユーザーテーブル・権限テーブル・役割テーブルプラス中間テーブルがフルセットのイメージ
ここから、どの程度妥協していくか。
Linuxの権限のイメージ（グループにも権限を付与できる）
redmineの権限の設計が参考になるのでは？
AWSのIAMの権限は人類には早すぎたw

##### [Pundit](https://github.com/elabs/pundit)
###### 認証系Gemとの相性は？（ebi）
[readme](https://github.com/elabs/pundit#policies)に
>The first argument is a user. In your controller, Pundit will call the current_user method to retrieve what to send into this argument

と書いてある。punditもcurrent_userメソッドを前提としているので、当該メソッドが定義しているgemを使うか、もし異なる場合は何かしらの実装が必要

punditはmodel毎に制御をかけるがcontrollerレベルで制御を
かける場合は辛い。

#### るびま
http://magazine.rubyist.net/?0047-IntroductionToPundit

##### [banken](https://github.com/kyuden/banken)
###### 認証系Gemとの相性は？（ebi）
###### （例）〇〇でハマった
###### （例）〇〇が便利
###### 日本語ドキュメント
https://github.com/kyuden/banken/wiki/Tutorial-(japanese)
###### 紹介スライド
認可gemの比較が横断的になされていて分かりやすい！
https://speakerdeck.com/kyuden/rails-authorization
##### 自作
###### どう設計すべき？
複雑でなければ、current_userからレコードを取得するようにしておく。find_by!すればNotFoundエラーになるので楽。
NotAuthenticateエラーでなくて良いの？
権限がないページにアクセスしたら、そのページが存在することがバレてはいけない場合、404の方が適切。
###### （例）どうテストすべき？
#### その他
#### ここで

https://github.com/asakusarb/action_args/

##### 認可系Gem導入の際、どのような観点で選定していますか？
個人的には、仕様とかが変わっていって、当該gemの想定する用途からずれて行き詰むのではという懸念があり、その辺教えてもらえると嬉しいです（認可周りとか特に仕様追加・変更が激しそう・・・）。

###### modelsではなくpoliciesディレクトリを作って、権限の管理をすることについてどうか
* 厳密に役割分割するのが難しそう
punditの場合はcontrollerのアクション + ?のメソッドが定義されてる想定なので問題なさそうだけど、自作の時でやると責務の分割が難しそう

##### 古くて使われてるかわからない権限、どうしてますか？
##### nullkalさんの記事
http://www.itmedia.co.jp/news/articles/1704/24/news045.html

https://github.com/tootsuite/mastodon/issues/1203

[Sidekiq.❨╯°□°❩╯︵┻━┻](https://github.com/mperham/sidekiq/blob/v5.0.0.rc1/lib/sidekiq.rb#L52)