强参数
安全的参数
强参数 是 CoddyKit 上的免费 Ruby Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Ruby Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Ruby Academy 课程共包含 4 节课。
批量赋值问题
表单会一次发送许多字段。如果您不加区别地将所有字段传递给模型，攻击者就可能添加您从未打算允许的字段，例如设置 admin: true。这就是批量赋值漏洞。
- 绝不能信任用户输入。
- 必须将允许的字段列入允许列表。
- Rails 会通过强参数强制执行这一点。
什么是强参数
强参数要求您明确声明模型可以接受哪些参数。如果您尝试批量赋值未获允许的参数，Rails 就会引发错误。
这样可以将一个不会被察觉的安全漏洞，转变为一份需要主动选择并经过审核的字段列表。
require 与 permit
这种模式使用两种方法：
require(:model)确保顶层键存在。permit(:field, ...)将内部字段列入允许列表。
def article_params
params.require(:article).permit(:title, :body)
end使用辅助方法
请定义一个私有的 model_params 方法，并在创建或更新时调用它。绝不要将原始的 params 直接传递给模型。
def create
@article = Article.new(article_params)
@article.save
redirect_to @article
end
private
def article_params
params.require(:article).permit(:title, :body)
end为什么使用私有方法
将允许列表集中放在一个私有方法中意味着：
create和update可以共享相同的规则。- 允许的字段很容易查找和审核。
- 它不会作为控制器操作公开（私有方法无法由路由访问）。
哪些内容会被过滤掉
提交的任何不在 permit 列表中的键，都会在到达模型前被丢弃。如果某个表单不知为何包含 admin，而您只允许 title 和 body，那么 admin 的值就会被静默忽略，从而保证记录安全。
允许数组参数
对于复选框列表或会发送数组的多选控件，请将空数组作为值传入以允许它们。这样可以为该键接受多个值。
params.require(:article).permit(:title, tag_ids: [])允许嵌套哈希
对于嵌套属性（可以同时编辑父项及其子项的表单），请使用描述内部字段的哈希来允许嵌套键。
params.require(:order).permit(
:customer_name,
items_attributes: [:product_id, :quantity]
)处理缺失的参数
如果缺少必需的键，require 会引发 ParameterMissing，Rails 会将其渲染为 400 错误请求。这会自动保护操作，避免它们处理格式错误的请求。
# Missing :article key raises:
# ActionController::ParameterMissing强制允许操作存在风险
您可以调用 params.permit! 来允许所有内容，但这样会重新引入批量赋值漏洞。除非处于受信任的内部场景，否则请避免使用它。请始终优先使用明确的白名单。
最佳实践
请确保参数安全：
- 仅将最少的一组字段加入白名单。
- 绝不要允许公共表单传入
role或admin等敏感标志。 - 根据服务器端逻辑，在控制器中明确设置此类字段。
快速检查
请测试您对强参数的理解。
回顾：强参数
您已经学会了如何安全地过滤输入：
- 批量赋值确实存在安全风险。
require要求存在顶层键；permit将字段加入白名单。- 请将白名单放在共享的私有方法中。
- 在需要时允许数组和嵌套哈希。
- 避免使用
permit!，绝不要允许敏感标志。
接下来我们将使用视图和渲染来返回响应。
常见问题解答
「强参数」课时是免费的吗？
是的 — 「强参数」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Ruby Academy 课程的其余内容，请升级到 CoddyKit PRO。 Ruby Academy 课程共包含 4 节课。
「强参数」这节课中我会学到什么？
安全的参数 你通过在浏览器中直接运行的动手代码来练习 Ruby Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Ruby Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Ruby Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「强参数」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Ruby Academy 课中编写并运行代码吗？
能。每节 Ruby Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。