pronto e para ver que ele nao tem autorizacao, é preciso o authorize. o @naps62 é que está a dizer que o authorize nao é preciso. tirando o authorize, ele depois vai tentar acedor ao id do current_user que é nil (linha 18), logo vai dar erro.