При изменении некоторых полей пользователя не проверяются права

[jekhor]

В контроллере hackers (app/controllers/hackers_controller.rb) при изменении таких полей, как suspended и banned, не проверяется, есть ли у того, кто меняет, права админа. В форме редактирования эти поля спрятаны, но никто не мешает сформировать запрос вручную.

[k2m30]

нет, эта возможность закрыта через cancan gem, ability.rb

[jekhor]

Не закрыта.
Шаги для воспроизведения на локальной копии:

1. залогиниться под [email protected]
2. через rails console добавить роль "admin" этому пользователю (для генерации полной формы)
3. открыть форму редактирования http://localhost:3000/hackers/2/edit
4. через консоль отобрать роль "admin"
5. сохранить форму

Сохраняется успешно.

В ability.rb нет управления списком полей, изменение которых запрещено не-админу.