picasssaa/photo-gallery — comment on commit 7a8075845f32f2df73c7e5d954dd43aacd457bdf
File: app/controllers/albums_controller.rb line 2
By gotva:

вот эта строчка (+ правильные ability.rb) делают мега работу. В частности они подгружают необходимые объекты, то есть еще до метода index данная строчка определяет @albums (что интересно для метода show определяется @album). При чем сразу ограничивается доступ к чужим обьектам.
Например:
user_1 владеет album_1, album_2
user_2 владеет album_3
когда user_1 попытается отредактировать album_3 - (при правильном настройке cancan) он автоматически получит ошибку 403 - forbidden

Надо очень внимательно почитать доку к гему (там ее очень много) и переписать контроллер. Потом проверь пожалуйста ситуацию описанную выше.