这是一个绝妙的发现，而且非常准确。
上传文件有一个 user_id，但这只是创建上传文件的原始用户。
将该代码转换为：
Upload.where(id: params.upload_ids).joins(:user_uploads).where(user_uploads: { user_id: guardian.user.id })
就能解决问题。
你能提交一个 PR 吗！
