ruby-on-rails - Ruby on Rails: ユーザーがフォーム フィールドをフォームに追加できない原因は何ですか?

Question

Rails にフォームがあり、特定のフィールドのみをユーザーに公開したい場合、ユーザーがフォームをハッキングしてフィールドを追加して不要なデータを挿入するのを防ぐにはどうすればよいですか?

たとえば、name、description、internal_notes という列を持つ task.rb モデルがあるとします。「app/views/tasks/new.html.erb」のパブリック フォームについては、次のようにパブリック フィールドのみを公開したいと考えています。

form
  name:
  description:
/form

ユーザーがフォームをハッキングしてこれを行うのを防ぐにはどうすればよいですか:

form
  name:
  description:
  internal_notes:  <--- inserted by user (e.g. through Google Chrome Elements)
/form

たとえば、ユーザー<input type="text" name="task[internal_notes]" />はフォームに入力し、不要なデータを送信できます。

それを防ぐ方法はありますか？

Answer 1

これが、2 つの非常に便利な ActiveRecord クラス メソッドが存在する理由です。

• attr_protected
• attr_accessible

MassAssignmentに関するドキュメントを確認して、理解を深めてください。