質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

ただいまの
回答率

88.81%

【Rails】rails5でストロングパラメータに指定しなくとも投稿できるのは何故?

解決済

回答 1

投稿 編集

  • 評価
  • クリップ 1
  • VIEW 1,361

zackieeee

score 14

rails初学者です。
ストロングパラメータについて学んでいたのですが、課題として作ったアプリケーションにおいて、一部カラムでストロングパラメータを使わなくてもDBへの登録ができてしまうのが腑に落ちず、理解があっているのか質問させてください。
件のコードは以下のような感じです。

test.rb

Class TestController < ApplicationController 

・・・中略
#フォームから入力されたデータをTestモデルに登録するメソッド
#その際、test_paramsメソッドを呼び出す
def create
 Test.create(image: test_params[:image], text: test_params[:text],user_id: current_user)
end

・・・中略
#createメソッドから呼び出され、引数となっている値がストロングパラメータとして設定されているか検証
#falseとした場合は、DBへの登録を制限する
private
def test_params
  params.permit(:image, :text)
end

【質問内容】

①以下の理解であっているでしょうか。
ストロングパラメータ自体がViewから引き渡されたparams内に定義されたカラムを検証対象としている。
そのため、params[:XXXX]を直接createで指定するとストロングパラメータ不使用でエラーとなる。

ただし、paramsを使わずに設定した値(上の例だと"user_id:")は、ストロングパラメータの包囲網には引っかからず、普通に登録できてしまう。

②どうするのがベターなのか。
ユーザからリクエストを受けるデータは全てparamsに格納されるので基本的にセキュリティ的な問題は無いという理解ですが、個人的には、current_user自体もセッション情報だと思うので、ユーザ入力情報と同義なのではと・・・。
ただ、”なりすましによる改ざん”と今回のストロングパラメータで回避しようとしている事象は違うので気にしなくて良いと言う結論なのでしょうか・・・とか、纏まらず、うやうや考えています。

そのため、書き方として、どちらがいいのか、ご意見をください!!!
また、どちらも使う場合、利用ケースを教えてくださると嬉しいです!!!!

1.params指定以外の設定値は、ストロングパラメータを経由しない
例)今回の参考コードと同一
2.params指定以外の設定値も、ストロングパラメータ検証用のメソッドを経由する
例)以下のようにストロングパラメータの検証用メソッドに値をマージする

test.rb

Class TestController < ApplicationController 

・・・中略
#フォームから入力されたデータをTestモデルに登録するメソッド
#その際、test_paramsメソッドを呼び出す
def create
 Test.create(test_params)
end

・・・中略
#createメソッドから呼び出され、引数となっている値がストロングパラメータとして設定されているか検証
#falseとした場合は、DBへの登録を制限する
private
def test_params
     params.permit(:image, :text).merge(user_id: current_user.id)
end

※初心者課題のため、モデル更新にもform_tagを利用しています。
そのため、paramsメソッドに続く'require'メソッドの記述がありませんが、これは意図したものです。

初心者につき、明後日な質問をしているかもしれません。
長文・蛇文となり、申し訳ございませが、ご教示何卒よろしくお願いいたします。

  • 気になる質問をクリップする

    クリップした質問は、後からいつでもマイページで確認できます。

    またクリップした質問に回答があった際、通知やメールを受け取ることができます。

    クリップを取り消します

  • 良い質問の評価を上げる

    以下のような質問は評価を上げましょう

    • 質問内容が明確
    • 自分も答えを知りたい
    • 質問者以外のユーザにも役立つ

    評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。

    質問の評価を上げたことを取り消します

  • 評価を下げられる数の上限に達しました

    評価を下げることができません

    • 1日5回まで評価を下げられます
    • 1日に1ユーザに対して2回まで評価を下げられます

    質問の評価を下げる

    teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。

    • プログラミングに関係のない質問
    • やってほしいことだけを記載した丸投げの質問
    • 問題・課題が含まれていない質問
    • 意図的に内容が抹消された質問
    • 過去に投稿した質問と同じ内容の質問
    • 広告と受け取られるような投稿

    評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。

    質問の評価を下げたことを取り消します

    この機能は開放されていません

    評価を下げる条件を満たしてません

    評価を下げる理由を選択してください

    詳細な説明はこちら

    上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。

    質問の評価を下げる機能の利用条件

    この機能を利用するためには、以下の事項を行う必要があります。

回答 1

checkベストアンサー

+2

まず、Strong Parameterが何のためにあるのかといえば、Mass Assignment脆弱性を防ぐため(params[:user]とそのまま投げ込んで、意図しない列まで書き換わるという問題への対策)です。なので、1列ごとにピックアップするのであればStrong Parameterに頼らなくても全く問題ありません。


①以下の理解であっているでしょうか。

はい、大筋では間違いありません。

②どうするのがベターなのか。

「一部の列しか書き換えない」という意図を、Strong Parameterで表現するか、各列を明示的に宣言して表現するかの問題なので、元のコードの書き方で構いません(下手にparamsmergeしてしまうと、mergeしたものがpermitされていないとみなされて、うまく動きません)。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2019/06/25 12:30 編集

    ご回答いただき、ありがとうございます!
    (訳わからないこと書いてたので、訂正します!!)
    ①ありがとうございます!
    ②ありがとうございます!そもそも1カラムずつ定義するなら、ストロングパラメータを使用する必要性はないんですね。実機確認して、ストロングパラメータ介さなくても登録ができることを確認しました!

    ただ、マージについては、何のためにあるか、やはり不明です。
    単にcreateの引数として、user_params一言で終わらせたいから…とかでしょうか?

    よろしければ、ご教示いただけると嬉しいです。

    キャンセル

  • 2019/06/26 17:54

    paramsのmergeはHash#mergeがあったから付いている程度のもので、「入力フォームで複数のキーに分かれてしまっているものをmergeしてからpermitする」というような状況でもないとあまり役には立たなさそうです。

    キャンセル

  • 2019/06/28 21:36

    すみません、返信が遅くなってしまいました。
    ありがとうございます。

    なるほど、例えばviewのform_forを別キーで複数作って、それらをハッシュマージしてpermitしたい。と言う感じですよね。
    なんとなく、理解が深まりました。
    ありがとうございました!

    キャンセル

15分調べてもわからないことは、teratailで質問しよう!

  • ただいまの回答率 88.81%
  • 質問をまとめることで、思考を整理して素早く解決
  • テンプレート機能で、簡単に質問をまとめられる

同じタグがついた質問を見る