Rails：与belongs_to关系有关的批量分配安全问题

Question

我一直在阅读有关 Rails 安全问题的文章，其中最让我担心的是批量分配。我的应用程序正在使用 attr_accessible，但是我不确定我是否完全知道处理公开关系的最佳方法是什么。假设我们有一个基本的内容创建/所有权网站。用户可以创建博客文章，并拥有与该博客文章关联的一个类别。

所以我有三个模型：

• user
• post: 属于用户和类别
• category: 属于用户

我允许对category_id进行批量分配，因此用户可以将其清零，将其更改为他们的类别之一，或者通过批量分配，我想他们可以将其更改为其他人的类别。这就是我有点不确定最好的继续方式是什么。

我调查过的资源（特别是 railscast #178 和 资源是由该railscast提供的） ，都提到关联不应该是可批量分配的，这是有道理的。我只是不确定如何允许用户以 Railsy 方式更改帖子的类别。

关于如何最好地解决这个问题有什么想法吗？我是否以错误的方式看待它？

更新：希望能进一步澄清我的担忧。

假设我在 Post，我是否需要类似以下内容：

def create
  @post = Post.new(params[:category])

  @post.user_id = current_user.id

  # CHECK HERE IF REQUESTED CATEGORY_ID IS OWNED BY USER

  # continue on as normal here
end

这看起来工作量很大？我需要在更新和创建操作中检查每个控制器。请记住，不只存在一种“belongs_to”关系。

Answer 1

我认为您的用户可以通过某种编辑形式来更改它。

基于此，批量分配实际上适用于那些试图通过诸如curl之类的东西来扰乱您的应用程序的邪恶类型。我称他们为卷毛小子。

总而言之，如果您使用 attr_protected -（在这里放置您不希望它们更改的字段）或孩子最喜欢的 attr_accessible（可以更改的字段）改变）。

您会听到两者的参数，但如果您在模型中使用 attr_protected :user_id ，然后在 CategoryController#create 操作中，您可以执行类似的操作

def create
  @category = Category.new(params[:category])

  @category.user_id = current_user.id
  respond_to do |format|
....#continue on as normal here
end

Answer 2

好的，所以四处搜索了一下，终于想出了一些对我有用的东西。我喜欢尽可能将逻辑保留在控制器之外，因此这个解决方案是一个基于模型的解决方案：

# Post.rb
validates_each :asset_category_id do |record, attr, value|
  self.validates_associated_permission(record, attr, value)
end

# This can obviously be put in a base class/utility class of some sort.
def self.validates_associated_permission(record, attr, value)
  return if value.blank?
  class_string = attr.to_s.gsub(/_id$/, '')
  klass = class_string.camelize.constantize

  # Check here that the associated record is the users
  # I'm leaving this part as pseudo code as everyone's auth code is
  # unique.
  if klass.find_by_id(value).can_write(current_user)
    record.errors.add attr, 'cannot be found.'
  end
end

我还发现 Rails 3.0 将有更好的方法来指定它，而不是超通用 validates_each 所需的 3 行。

http:// ryandaigle.com/articles/2009/8/11/what-s-new-in-edge-rails-independent-model-validators