Railsのviewのセキュリティの質問

Question

最近、「世界最悪のログインコード」みたいなのが話題になってましたが、Railsに置いて、viewの中でforやeachなどを使ってデータを取り出すのはセキュリティ的には問題ないんでしょうか？

今、Usersテーブルと、そのユーザー一人一人に紐づいている曲を保存するMusicsテーブルを作り、それをviewで取り出す処理を以下のように書いています。（Hamlで）

        - @musics.each do |music|
          - user = User.find_by(id:musics.user_id)
          %tr
            %td= music.user_id
            %td= user.username
            %td= music.title
  

コントローラー側ではMusics.allを@musicsに入れる処理だけをしています。

これはデータの表示以外は全部の処理をコントローラー側で　行った方が良いのでしょうか？
コントローラー側で処理するとしたら、方法がパッと思いつかないのですが、どのような方法があるでしょうか...

ご教授ください。。

Answer 1

Musicにbelongs_to :userと宣言しておけば、music.userで紐付いたユーザーを取れます。

そのままだと、music1件毎にuserを引いてしまうので、@musics = Music.include(:user).where...のようにまとめて引いておきましょう。

Active Record の関連付け (アソシエーション) - Rails Guide

Comments

[anpnt]

いつも回答ありがとうございます。
ということは、コントローラー側で@musics = Music.include(:user).where...などを行って、view側では- @musics.each do |music|の部分だけを行うという感じでしょうか？

[maisumakun]

そうですね。なお、ビューでやろうがコントローラーでやろうが「サーバサイド」で行っていることには変わりがない（ブラウザに伝わるのは生成したHTMLだけ）ので、セキュリティ的な差は特にありません。

[anpnt]

ありがとうございます！