Rails 3：如何防止用户通过键入 URL 来更改数据库？

Question

我有以下链接：

link_to("Toggle", "/jobs/#{job.id}/toggle_is_money_paid", :remote => true)

它使用 Ajax 请求切换作业的 is_money_paid 字段：

def toggle_is_money_paid
  job = Job.find(params[:id])
  job.update_attributes(:is_money_paid => !job.is_money_paid)
  render :nothing => true
end

# config/routes.rb
match "/jobs/:id/toggle_is_money_paid" => "jobs#toggle_is_money_paid"

但是，如果用户直接在浏览器中键入：

http://localhost:3001/jobs/200/toggle_is_money_paid

，它将切换 is_money_paid 字段工作#200。

我怎样才能防止这种情况，以便用户只能通过按链接来切换该字段。

Answer 1

您可以通过不使用 match 定义路由，而是使用非 get 的 HTTP 动词之一来防止这种情况发生。您很可能需要使用 put：

put "/jobs/:id/toggle_is_money_paid" => "jobs#toggle_is_money_paid"

然后您将 link_to 更改为：

link_to("Toggle", "/jobs/#{job.id}/toggle_is_money_paid", :remote => true, :method => :put)