限制可以更新的用户属性

Question

我不想让用户更新他们的:name。我找到了这个question for Rails version 3，但答案对我不起作用。我正在使用 Rails 4。我可能只是语法错误。我无法让@user.update_attributes(params[:user]) 工作。仅限：@user.update_attributes(user_params)。我的编辑表单中没有包含:name，但我的理解（??）是用户仍然可以自己通过浏览器传递它，并且使用我当前的代码他们可以更改:name。

class UsersController < ApplicationController

def edit
  @user = User.find(params[:id])
end

def update
  @user = User.find(params[:id])
  @user.update_attributes(user_params)
    if @user.save
      flash[:success] = "Profile updated"
      redirect_to @user
    else 
      flash[:danger] = "Profile update Unsuccessful"
      redirect_to 'edit'
    end
end

private

def user_params
  params.require(:user).permit(:name, :email, :email_confirmation, :password, :password_confirmation)
end

Answer 1

有不止一种方法可以确保用户不会篡改您的业务规则。 由于您已经在使用 Rails 4，因此可以利用强参数来拒绝访问 :name 属性。

您可以为每个控制器操作设置不同的规则集：

def create_user_params
  params.require(:user).permit(:name,:email, :email_confirmation, :password, :password_confirmation)
end

def update_user_params
  params.require(:user).permit(:email, :email_confirmation, :password, :password_confirmation)
end

@user.create(create_user_params)
@user.update_attributes(update_user_params)

干涸：

def allowed_update_attrs
 [:email, :email_confirmation, :password, :password_confirmation]
end

def allowed_create_attrs
 allowed_update_attrs + [:name]
end

def user_params
  params.require(:user)
end

@user.create user_params.permit(*allowed_create_attrs)
@user.update_attributes user_params.permit(*allowed_update_attrs)

还有其他方法可以完成同样的事情，比如利用已经允许的属性，但这种方法似乎更简单。