rails omniauthにおけるセキュリティについて

Question

twitter、facebookなどのapiを使用してログイン機能を作ったのですが、現在、user.createにおけるパラメータをそのまま代入しています（以下）。これをストロングパラメータにしなければセキュリティ上まずいのではないかと思うのですが、いかがでしょうか。
またその場合、対処法を教えていただきたいです。

def create
  auth = request.env['omniauth.auth']
  User.create(uid: auth[:uid] , provider: auth[:provider], 
            name: auth[:info][:name],password: "password", 
            password_confirmation: "password",
            image_url: auth[:info][:image], activated: true)
end

Answer 1

これをストロングパラメータにしなければセキュリティ上まずいのではないかと思うのですが、いかがでしょうか。

どうしてそう思われたのでしょうか。

Strong ParameterはMass Assignment脆弱性（User.new(params[:user])のようにすることで、意図していないカラムまでデータが入ってしまう）への対策なので、この例のUser.createでのように、1つ1つカラムを指定してセットする分には、Strong Parameterでフィルタリングするのと何も変わりません。

Comments

[maisumakun]

別件ですが、password: "password"としていると、何かの加減でパスワードログインを開けた時に全員「password」でログインできてしまう、という脆弱性になりますので、Devise.friendly_tokenなどを使って予測不可能なパスワードをセットしておきましょう。

[zakky_kun]

ご回答ありがとうございます。ストロングパラメータで渡していないカラムは、セキュリティをかいくぐって自由に変えられてしまうと思っていました。私自身、rails tutorial をやりましたが、セキュリティに関する理解があまりできていなく、このような質問をさせていただきました。passwordの件も承知しました。ご丁寧にありがとうございました！