rails DB登録 ActiveRecord::AssociationTypeMismatch in FriendsController#create

Question

###実現したいこと
friendsテーブルにデータを登録させたい。（フォロー機能）

###現状
users↔︎friends↔︎farmers
というように、usersとfarmersはN対Nにしております。

###エラー箇所

ActiveRecord::AssociationTypeMismatch in FriendsController#create
User(#70277525473660) expected, got "2" which is an instance of String(#70277522570720)

class FriendsController < ApplicationController
    def create
        @friend = Friend.new(friend_params)★ここ！！
        if @friend.save!
            redirect_to farmer_path(friend_params[:farmer])
        else

エラー文は、Userの外部キーがほしいのにもってきたパラメータがStringなのでダメ！と怒られていると解釈しているのですが、viewから送ったのは、value: current_userで数字ではないのかな？？と悩んでおります。

###該当コード

popularsの段階では売り上げ順になっているが、その後はただの商品id順になってしまう。。。
（show.html.erb）
                                <div class="follow_area">
                                    <%= form_for(Friend.new, url: friends_path, html: {class: "follow_farmer"}) do |f|%>
                                        <%= f.hidden_field :user, value: current_user.id %>
                                        <%= f.hidden_field :farmer, value: params[:id] %>
                                        <%= f.submit "フォローする", class:"follow_btn"%>
                                    <% end %>
                                </div>

（friends_controller.rb）
class FriendsController < ApplicationController
    def create
        @friend = Friend.new(friend_params)
        if @friend.save!
            redirect_to farmer_path(friend_params[:farmer])
        else
            redirect_to farmer_path(friend_params[:farmer])
        end
    end

    def destroy
    end


    private

    def friend_params
        params.require(:friend).permit(:user, :farmer)
    end
end

モデル：
farmer.rb
has_many :friends, dependent: :destroy

モデル：
friend.rb
class Friend < ApplicationRecord
    belongs_to :user
    belongs_to :farmer
end

モデル：
user.rb
has_many :friends, dependent: :destroy

Friendsテーブル
class CreateFriends < ActiveRecord::Migration[5.2]
  def change
    create_table :friends do |t|
      t.references :user, foreign_key: true
      t.references :farmer, foreign_key: true
      t.timestamps
    end
  end
end

Answer 1

回答とは異なりますが、
悪意のあるユーザーがparams.user(user_id)の値を改変して送信すると
任意のユーザーにフォローさせてしまえませんか

user(user_id) の値はフォームに埋め込むのではなく、
コントローラーのcurrent_user.idから持ってきた方が良いと思います

Comments

[tomato185]

neko_daisuki様
ご指摘ありがとうございます！
params.user(user_id)の値というのはストロングパラメーターに、ということでしょうか？

[neko_daisuki]

viewの以下の部分です
<%= f.hidden_field :user_id, value: current_user.id %>
攻撃者はこの値を自由に書き換えられます

ストロングパラメーターは更新されるカラムを限定するものですが、値は守ってくれません

[tomato185]

ご回答ありがとうございます。
確かにそうですね！
実際に、値を守るようにするなら、どのように記述すればよろしいでしょうか。

当方、現在勉強中で、「user(user_id) の値はフォームに埋め込むのではなく、」
の意味が理解できておりません。

もしよろしくければ教えていただけると幸いです。

[neko_daisuki]

取得したい値は current_user.id です。
この値は、いまログインしているユーザーのIDなのですから、
ユーザーにフォームから送信させるまでもなく、コントローラーから取得可能なはずです。

def friend_params
params.require(:friend).permit( :farmer_id).merge(user_id: current_user.id)
end

今の実装では、以下の操作で(ログインしている)自分以外のユーザーにフォローさせることが出来てしまいます。

1.show.html.erbを開きます。
2.デベロッパーツールを開きます。
3.Elements から <input type="hidden" name="user_id" value="x">を探します
4.valueの値を他のユーザーのIDに書き換えてフォローボタンを押します
(farmer_idを書き換えることもできます)

[tomato185]

ありがとうございます！
mergeメソッドは初知りでした！
使用方法までありがとうございます、今後はmergeメソッドが使えるところは
使用していきます。
ありがとうございました。

Answer 2

<%= f.hidden_field :user, value: current_user.id %>
<%= f.hidden_field :farmer, value: params[:id] %>

でカラム名をuser/farmerとそれぞれしているが、そもそもfriendsテーブルにはuser_id/farmer_idになっているから、、、、

<%= f.hidden_field :user_id, value: current_user.id %>
<%= f.hidden_field :farmer_id, value: params[:id] %>

にしたら良い。
なので、ストロングパラメーターも併せて変更したら良い。