update 和  edit 都直接取 current_user
不然會有安全性問題

另外這兩個 action 也要檢查 user 必須登入
用昨天教的 devise