ActiveModel：危险使用 send()？

Question

在RailsCast 219 中，提供了以下代码来创建一个用于从表单来回传送数据的类，但没有任何 ActiveRecord 持久性：

class Message
  include ActiveModel::Validations

  attr_accessor :name, :email, :content

  validates_presence_of :name
  validates_format_of :email, :with => /^[-a-z0-9_+\.]+\@([-a-z0-9]+\.)+[a-z0-9]{2,4}$/i
  validates_length_of :content, :maximum => 500

  def initialize(attributes = {})
    attributes.each do |name, value|
      send("#{name}=", value)
    end
  end
end

我是 Ruby 新手，但 send("#{name}=", value) 似乎是在邀请攻击者 将任意值分配给任意字段。这是一个问题吗？一些评论者问similar questions，但没有回应。

Answer 1

send 是一种常用的动态调用方法的方式（当你事先不知道要调用什么时）。

如果您担心安全性，则绝对应该进行一些验证。这是一个简单的限制检查：

def initialize(attributes = {})
  attributes.each do |name, value|
    if [:name, :email, :content].include?(name)
      send("#{name}=", value)
    end
  end
end

Answer 2

当我最近询问与同一个 RailsCast 相关的 question 时，被告知初始化程序很危险，但遗憾的是没有给出任何理由。

经过深入研究，我现在相信该方法不会引入任何安全漏洞，原因是 jdoe 在对您的问题的评论中回避的原因。 send 方法不会绕过访问器方法，因此属性的安全性通常由访问器声明控制。

但是，我建议进行验证检查，以提高针对尝试分配不可访问或不存在的属性的鲁棒性。类似于 Sergio 的建议，但更笼统：

attributes.each do |name, value|
  send("#{name}=", value) if respond_to?("#{name}=")
end