strong parameterにmergeされた要素はホワイトリスト化されるのか

Question

ruby on railsで開発している際に疑問に思ったので質問させていただきます。
railsのstrong parameterではオブジェクトの属性がviewからparamsとして飛んでくることを想定しているとおもいます。
例えば、shopというオブジェクトがあり、placeとnameとpriceというカラムがあるとします。

def shop_params
  params.require(:shop).permit(:name)
end

とあれば、Shopというオブジェクトはnameというカラム属性を持っていることをコントローラーは想定していると思います。さらに、placeとpriceの情報も渡したいと思いますが、何かしらの事情(例えば外部APIでshopをとってきてその属性名が異なった時など)でplaceやpriceという名前でパラメータをviewから渡せない場合、別名で飛んできたparamsを割り当てるという作業が必要になるかと思います。すなわち、、、

def create
  Shop.new(shop_params.merge(
    place: params[:shop][:address],
    price: params[:shop][:budget]
  ))
#以下省略
end

として、割り当てが可能かと思いますが、
この時mergeされたplaceとpriceはstrong parameterでpermitされるのでしょうか？
仮にされないとしたら、このような場合にpermitする方法がなんなのでしょうか？

調べたところ、ホワイトリスト化されるという記事があったのですが、本当かどうかがわからなかったため。。

何卒よろしくお願いします。

Answer 1

困ったときは、公式あるいはそれに近い情報源を確認しましょう。

paramsはActionController::Parametersという型ですが、そのドキュメントにmergeの説明もあります。

単にキーをマージするだけでpermitted?に影響を与える旨は書かれていないため、「すでに別なルートでpermitされていればそのまま、permitされていなくてもそのまま」となるようです。

Comments

[tomoharu]

ありがとうございます。ドキュメント見逃してました。。