Strong Parameters in Rails 3.2.8

Question

This video afferma che è possibile proteggere l'ingresso in arrivo tramite il controller, ma è ancora possibile eseguire l'assegnazione di massa tramite modelli e specifiche. Tuttavia, non ho visto questo documentato come una caratteristica quando si utilizza strong_parameters in 3.2.8.

Capisco che ho bisogno di mescolare in ActiveModel::ForbiddenAttributesProtection nei miei modelli e impostare config.active_record.whitelist_attributes = false in config/application.rb. Ho anche estratto tutte le mie chiamate attr_accessible dal modello.

Con o senza il mixin, sto ricevendo errori di assegnazione di massa.

ActiveModel::MassAssignmentSecurity::Error: Can't mass-assign protected attributes: home_phone, cell_phone

mi sto perdendo qualcosa?

Answer 1

Il suggerito RailsCast è probabilmente un buon inizio, ma qui è un riassunto di quello che hai da fare in Rails3.x per ottenere i parametri di forza di lavoro, invece di attr_accessible:

1. Aggiungi gem 'strong_parameters' al vostro Gemfile e eseguire il pacchetto.

2. come commento (o impostato su false) config.active_record.whitelist_attributes = true in config/application.rb

3. Mix nel ActiveModel::ForbiddenAttributesProtection nel modello (Il Railscast propone di fare questo in una nuova inizializzazione, config/initializers/strong_parameters. RB ActiveRecord::Base.send(:include, ActiveModel::ForbiddenAttributesProtection))

4. da ora in poi si dovrà utilizzare una sintassi di questo tipo:

   model_params = params[:model].permit(:attribute, :another_attribute) 
   @model.update_attributes(model_params) 
   

   quando si aggiornano i modelli. In questo caso, qualsiasi attributo in params[:model] eccetto :attribute e :another_attribute causerà un errore ActiveModel :: ForbiddenAttributes.

È anche possibile utilizzare il resto della nuova magia da ActionController::Parameters, come ad esempio .require(:attribute) per imporre la presenza di un attributo.

Answer 2

Non è lo stesso del tuo problema, ma potrebbe capitare a qualcun altro di ricevere MassAssignmentSecurity :: Error. Ho riscontrato un problema in cui gli attributi 'id' e 'tipo' sembrano essere protetti di default anche quando avevo preso i passaggi prescritti per passare all'utilizzo di parametri forti piuttosto che protezione di assegnazione di massa. Avevo un'associazione chiamata 'type' che ho rinominato in 'project_type' per risolvere il problema (l'attributo era già project_type_id).