Так тут важно что бы кредитка принадлежала именно кастомеру текущему. Там current_customer.credit_cards.find. Так что так норм, там где не надо такое, у меня load_and_authorize_resource используется