Nur eine kurze Anmerkung:
Bei der Programmierung von Zugriffssteuerung sollten RBAC-Prüfungen im Allgemeinen serverseitig durchgeführt werden.
RBAC-Code in clientseitigem JavaScript kann vom Client manipuliert werden.
Das bedeutet, dass die Definition der Kern-RBAC-Berechtigungen für Mitarbeiter, Administratoren und Moderatoren (allgemein gesprochen) in Rails und nicht in JavaScript erfolgen sollte.
Übrigens handelt Discourse RBAC mittlerweile ebenfalls so, indem es das verwendet, was Discourse „Guardian