rails ストロングパラメーター 不要？

Question

前提・実現したいこと

ruby on rails でWebアプリを作っています。
初心者ですがストロングパラメーターについて調べてもわかりませんでしたので教えていただけないでしょうか。

以下のようなコードではstrong parameterの設定は必要なのでしょうか。
①以下のコードではないのですが、.update(params[:post])となっている場合のみMass-assignmentになるのでstrong parameteが必要なのでしょうか

色々調べましたがどちらとも確信が持てません。
ストロングパラメーターを設定するのに越したことはないのかもしれませんが後学のために教えていただけますと幸いです。

該当のソースコード

def update
if @user = User.find_by(id:params[:id]).update(
first_name: params[:first_name],
last_name: params[:last_name],
tel: params[:tel],
email: params[:email],
password:params[:password],
)
flash[:notice]= "アップデートに成功しました。"
redirect_to("/user/#{params[:id]}/show")
else
flash[:notice] ="アップデートに失敗しました。"
render("/user/#{@user.id}/edit")
end
end

ruby on rails

Answer 1

…私も初学者レベルなので何とも言えませんが…。

私は基本的に、データベースに保存するすべての入力データに対してストロングパラメーターを使っています。

ストロングパラメーターは不正なデータ入力からデータベースとアプリを守るためのセキュリティシステムの役割を持っています。
悪意ある第三者に不正なデータ－例えば攻撃用のスクリプトとか－を入力されたら困りますよね？
そこで、ストロングパラメーターを使うことで、**「自分が欲しい類の情報以外の情報がアプリ内部に到達することを許さない！」**とすることができます。
実際にparamsを見てみるとわかるのですが、ストロングパラメーターを使った欲しいparamsにはpermitted: trueが、そうでない部分ではpermitted: falseが、それぞれ確認できるはずです。

ですので、セキュリティの観点から、ストロングパラメーターは可能な限り使うべきだと考えています。
…もしもっとできる方がいらっしゃいましたら、よりよい修正をお願いします！

Comments

[kentigersv]

ご回答ありがとうございます。他の質問に対する回答で不要かのようなコメントがついておりましたので気になっておりました、、、

https://teratail.com/questions/157353

[take77]

コメントありがとうございます。
なるほど、「全パラメーターを使うのであれば問題ない」というのは納得ですね。

入力を受け取る際に、入力されることで誤動作を招くような要素（例えば、特定のパラメーターで処理を分岐させる処理に割り込まれたりしうるとき）がある場合にはそれをはじくべきで、入力されるすべての情報を活用する場合には関係ないというのは確かです。
ただ、その入力される情報が多い場合にはストロングパラメーターを使ったほうがわかりやすいので、活用しましょうということでしょうか。

これを踏まえたまとめをするなら「送られてくるパラメーターが1つ程度で、かつすべての要素が活用されるのであれば直接pramsからとってよし」といったところでしょうか。
私自身も勉強になりました。ありがとうございます。

[kentigersv]

なんとなくイメージがつかめた気がします。お助けいただきありがとうございました。