ruby-on-rails - ActiveRecord : Attributes protected by default. 它们如何公开？

Question

我刚刚开始使用 Rails 编写代码。我在用: rails 3.2.8 ruby 1.9.3p194

我创建了一个迁移和一个相应的模型，它们都在文件中(为简洁起见，我将它们放在一起):

class CreateMovies < ActiveRecord::Migration
  def up
    create_table 'movies' do |t|
    t.string 'title'
    t.timestamps
  end
end

def down
  drop_table 'movies'
end
end


class Movie < ActiveRecord::Base
end

所以，我想进入“rails console”并把玩数据库作为一个学习过程。

这是我输入的内容和收到的错误消息:

1.9.3p194 :021 > k = Movie.new(:title => 'coco')
 ActiveModel::MassAssignmentSecurity::Error: Can't mass-assign protected attributes: title

我不得不说，如果我附加 :without_protection => true，上面的语句工作正常。

我查阅了关于批量分配的信息，我明白这是我们应该非常小心的事情。但是，默认情况下，rails 似乎激活了质量分配保护。就我而言，我想使用哈希创建条目，这对于调试和学习非常有用!

有没有办法取消这种保护？我想默认有公共(public)属性!我怎样才能做到这一点？

奇怪的是，在我的网络研究中，我得出的结论是默认情况下不存在此功能，即默认情况下 ActiveModel 不会创建 protected 属性。 (http://stackoverflow.com/questions/3764899/is-there-a-way-to-make-rails-activerecord-attributes-private)但在我的例子中，所有属性都是私有(private)的!

在我的代码中，将来我是否应该尝试单独分配所有属性？这会很乏味。有没有更好的方法既能保证安全又能避免这种繁琐的过程？

提前从内心深处感谢您!

Answer 1

不!请不要取消激活此保护。这对于阻止人们设置他们不应该设置的属性非常有帮助。关闭它是一个非常糟糕的主意，我非常、非常强烈反对它。

你应该在你的模型中这样做:

class Movie < ActiveRecord::Base
  attr_accessible :title
end

这将使您的 Movie 对象的只是 title 属性可赋值，如果没有 without_protection，则无法赋值任何其他内容 标志或 config.active_record.whitelist_attributes 设置设置为 false。

如果您不想注意这个警告，那么 Murifox 的答案就是您想要的。

---

想象一下您有一个表单，用户可以在其中更新他们的密码。够无辜的。现在假设您关闭了属性保护并且您的 users 表上有一个 admin 字段。

将页面的 HTML 保存到他们的计算机实际上非常容易，为 admin 添加一个字段，然后将其设置为“on”或其他，然后 blammo ，他们是您网站的管理员。

您网站的新管理员快速有效地对您的应用程序进行政变，使他们声称的“持不同政见者数据”消失。在未来的岁月里，这个残暴的独裁者以某种方式积累了足够的核 Material 来制造核武器。他与一个鲜为人知的国家相处得不好，比如说苏里南，并与他的军队一起发动进攻。军队是怎么来的，全凭你的想象。

成千上万的苏里南人(我不得不查了一下)要么被杀，要么流离失所到邻国，主要是法属几内亚和圭亚那。有些人试图前往巴西，如果不是南美洲最伟大的国家之一，结果却被远足的距离或丛林中的生物杀死。

苏里南军队，以及剩下的军队，都在抵抗独裁者和他的军队。核武器的使用打破了僵局，独裁者将苏里南及其民众的生活添加到他所破坏的事物 list 中。 list 很短:他唯一毁掉的另一件事就是你的申请。

你想把它放在你的意识中吗？! 为什么没有人想到苏里南的特征？!

求求你，请使用 attr_accessible。学会爱它，否则后果可能会非常可怕。