Devise / Rolify / CanCan 2.0: запрет пользователям изменять роль пользователя

Во-первых, вы, вероятно, захотите почистить свои способности, так как на данный момент все кажется немного запутанным. Игнорируя все остальное, вероятно, было бы неплохо указать специальное действие для изменения паролей, для ясности. Например:

# ability.rb

def initialize(user)
  ...

  cannot :manage_roles, :user
  if user.has_role? :admin
    can :manage_roles, :user
  else
end

(Чего именно вы пытаетесь достичь с помощью остальных правил? В настоящее время, если кажется, что вы позволяете модераторам читать, редактировать и удалять только себя, это то, что вы намеревались?)

Вы, вероятно, захотите скрыть или отключить раздел ролей в своей форме для всех, кто на самом деле ничего не может с ним сделать:

#_form.html.erb
<%= simple_form_for @user do |f| %>
  <%= f.association :roles, as: :check_boxes if can? :manage_roles, @user %>
  <%= f.button :submit %>
<% end %>

(Обратите внимание, что can? принимает только два аргумента: действие и объект/класс.)

Если вы хотите быть более безопасным, вы также можете использовать следующую проверку в контроллере:

# users_controller.rb
def update
  @user = User.find(params[:id])

  user_params = params[:user]
  if cannot? :manage_roles, @user
    user_params.delete_if { |k, v| k.to_sym == :role_ids }
  end

  if @user.update_without_password(user_params)
    redirect_to @user
  else
    render :action => "edit"
  end
end

(Вам нужно будет дважды проверить, какой правильный ключ удалить из хэша параметров, я предполагаю, что это :role_ids на основе вашего attr_accessible, но я действительно не очень хорошо знаю simple_form.)

Оберните роли этим в файле users/_form.html.erb:

С простой формой:

<% if can? :manage, User %>
  <%= f.association :roles, as: :check_boxes %>
<% end %>

Без простой формы:

<% if can? :manage, User %>
    <div class="control-group">
      <%= f.label :roles, class: "control-label" %>
      <div class="controls">
        <% Role.all.each do |role| %>
            <%= check_box_tag "user[role_ids][]", role.id, @user.role_ids.include?(role.id) %>
            <%= role.name %><br />
        <% end %>
      </div>
    </div>
<% end %>

Я не уверен, понял ли я, что вы хотите, чтобы модераторы сделали, но вот базовая конфигурация, которую я использую. Я адаптировал его к вашему сценарию, насколько мог. Если модераторам не нужны отдельные права, просто удалите внутренний пункт.

class Ability
  include CanCan::Ability

  def initialize(user)
    # Create guest user aka. anonymous (not logged-in) when user is nil.
    user ||= User.new

    if user.has_role? :admin
      can :manage, :all
    elsif user.has_role? :moderator
      can :manage, User, user_id: user.id
      can :create, User
      can :read, :all
    else
       # Guest user aka. anonymous
      can :read, :all
    end
  end
end

В итоге я использовал before_filter, например:

before_filter :prevent_unauthorized_role_setting, :only => [ :create, :update ]

def prevent_unauthorized_role_setting
  if cannot? :manage_roles, current_user
    params[:user].delete_if { |k, v| k.to_sym == :role_ids }
  end
end

следуя предложению Зайда в Ability.rb:

cannot :manage_roles, :users
if user.has_role? :admin
  can :manage_roles, :users
end

Кроме того, я отказался от Rolify и управлял ролями самостоятельно.