هذه ملاحظة رائعة ودقيقة. 
لدى التحميلات user_id، ولكن هذا هو المستخدم الأصلي الذي أنشأ التحميل.
تحويل هذا الرمز إلى:
Upload.where(id: params.upload_ids).joins(:user_uploads).where(user_uploads: { user_id: guardian.user.id })
سيؤدي الغرض.
هل يمكنك إرسال طلب سحب (PR)؟