form_forでcurrent_user_idが渡せない。。

Question

current_user_idが渡らなくて困っています

どのUserのOrderかが分かるようにしたいのですが、user_idがnilとなってしまいます。

モデルのリレーションは済みです。

ざっくり
userモデル
orderモデル
orderコントローラー

発生している問題・エラーメッセージ

<%= form_for @order, url: orders_path do |f| %>

  <p>
     <%= f.text_field :quantity, placeholder: '数を入力してください' %>
     <% if @order.errors.messages:quantity].any? %>
   <span class="error"><%= @order.errors.messages[:quantity][0] %></span>
   <% end %>
  </p>
  <p>
     <%= f.hidden_field :user_id, value:current_user.id %>
  </p>
   <%= f.check_box :agreement, :as => :boolean, checked:false %>
  <a href="http://localhost:3000/pages/policy">利用規約に同意する</a>

  <p>
  <%= f.submit '注文する', class: 'submit_button' %>
  </p>
  </div>
   <% end %>

def create
  @user = current_user
  @tpoint = @user.point
@order = Order.new(order_params)
  if @order.save && @tpoint >= @order.price
    order
 else
    redirect_to charges_path
  end
  end

試したこと

①<%= f.hidden_field :user_id, value:current_user.id %>
をフォームに入れることで、渡せるのかなと思いましたが失敗。

②コントローラーに書くやり方も試しましたが、なるべくform_forの中で完結させたいなと思っています
どなたかご教授願えませんでしょうか？よろしくお願いいたします

補足情報（FW/ツールのバージョンなど）

Ruby on Rails5
HTML5
CSS3

Answer 1

formにhidden_fieldとして渡すのはやめたほうがよいでしょう。

hidden_fieldは、ブラウザ側に一度出力され、submitされた時にparamsとして戻ってきます。
が、その時に一度ユーザーの干渉できる状態に置かれます。
(DOMを書き換えることができます)

すなわち、任意のidを渡すという攻撃が可能です。

Controllerのcreateで、

@order = Order.new(order_params)
@order.user = current_user

if @order.save
  ...
else
  ...
end

とするのが一般的だと思います。

Comments

[engeng]

早速のご回答感謝いたします。
hidden便利ですが気をつけて使うべきなんですね！
無事、実装の方できました！助かりました！ありがとうございました！