Rails - 質量割り当て外のparams.permit（）のユーティリティ？

Question

permitのレールのドキュメントには、「大量更新に許可する属性を制限するのに便利です」と記載されています

他にユーティリティはありますか？セキュリティを教えてください。

Answer 1

セキュリティ上の理由から、.permitの全体のポイント。 Rails 3.0では、Railsはパラメータの一括割り当てに関してホワイトリストアプローチを使用しています。これは基本的にはすべてのパラメータがデフォルトで許可されておらず、どのパラメータを一括割り当てできるかを手動で許可する必要があるということです。

これは、ハッカーが特定のパラメータを使用できないようにします。つまり、管理者が存在し、ブール値を受け入れるかどうかを確認するadminパラメータがある場合、ハッカーはadmin = trueというパラメータを書き込むだけです。特定のコンポーネントを作成、更新、削除するアプリの能力に潜在的にアクセスすることができます。

これを防ぐための鍵は、強力なパラメータを使用して、一括割り当てするパラメータのみを許可することです。そうすることで、ハッカーが使用したくないパラメータにアクセスできるようにする潜在的な落とし穴を避けることができます。 .requireと組み合わせて.permitでこれを行います。