浅谈Rails 4 中Strong Parameters机制
发布于 2016-01-29 13:48:43 | 119 次阅读 | 评论: 0 | 来源: 网友投递
Ruby on Rails 开源网络应用框架
Ruby on Rails 是一个用于开发数据库驱动的网络应用程序的完整框架。Rails基于MVC（模型- 视图- 控制器）设计模式。从视图中的Ajax应用，到控制器中的访问请求和反馈，到封装数据库的模型，Rails 为你提供一个纯Ruby的开发环境。发布网站时，你只需要一个数据库和一个网络服务器即可。
本文主要是通过Rails3中的Parameters与Rails4中新引入的Strong Parameters机制进行对比，从而得出他们直接的异同
要弄明白Rails 4 中Strong Parameters机制，首先我们要看看Rails3中的Parameters
在 Rails3 中创建或更新 Active Record 对象时，会有 Mass Assignment 安全问题。所以 Model 中需要列一个白名单，声明哪些属性可以被 parameter 的数据更新。
Rails 3
# kings_controller.rb
def create
#{ name: ‘David', sex:male, age: 31}
@king = King.new(params[:king])
if @king.save
redirect_to @king
else
render 'new'
end
end
# king.rb
class King
attr_accessible :name
endRails 4
Rails 4 引入了 Strong Parameters 的机制，Model 不再负责白名单的维护，把过滤非法属性的职责推给了 Controller。
# kings_controller.rb
def create
# new parameter { name: ‘David' }
@king = King.new(king_params)
if @king.save
redirect_to @king
else
render 'new'
end
end
private
def king_params
# old parameter { name: ‘David', sex:male, age: 31}
# new parameter { name: ‘David' }
params[:king].permit(:name)
end
# king.rb
class King
end 什么是 Strong Parameters?
说白了 Strong Parameter 其是就是一层白名单过滤。
View 层穿过来的数据会转化为一个 ActionController::Parameters 对象
过滤老的 ActionController::Parameters 对象，生成一个新的 ActionController::Parameters 对象。
* 只保留白名单属性
* 实例变量 @permitted 赋为 true
把过滤后的 ActionController::Parameters 对象传给 model，创建或更新对应的的 ActiveRecord 对象。
可以硬传给 model，霸王硬上弓吗？
未经 Strong Parameter 过滤的 ActionController::Parameters 对象的 @permitted 为 false（过滤后为 true）。如果硬传给 Model，会报错 ActiveModel::ForbiddenAttributesError 。