フォームの値をDBに登録する際に、同時にパラメータの値も登録したい。

Question

ruby on ralsでviewのフォームに入力された値をDBに登録したいと考えています。
登録する値は、title, author,content,user_id、imageです。
ただ、user_idだけはパラメータとして引き渡された値を登録したいのでフォームの入力欄は設けないつもりです。
その際の実装方法が分からず困っています。

フォームのソース
<%= form_with(model: book, local: true) do |form| %>
<% if book.errors.any? %>
<div id="error_explanation">
<h2><%= pluralize(book.errors.count, "error") %> prohibited this book from being saved:</h2>

  <ul>
  <% book.errors.full_messages.each do |message| %>
    <li><%= message %></li>
  <% end %>
  </ul>
</div>

<% end %>

<div class="field"> <%= form.label :name %> <%= form.text_field :name %> </div> <div class="field"> <%= form.label :author %> <%= form.text_field :author %> </div> <div class="field"> <%= form.label :content %> <%= form.text_field :content %> </div> <div class="field"> <%= form.label :image %> <%= form.file_field :image %> </div> <div class="actions"> <%= form.submit %> </div> <% end %>

補足
user_idは他のviewからcurrent_userというパラメータで引き渡しされます。

<li class="nav-item"><%= link_to '新規投稿',books_path(current_user), class: 'nav-link' %></li>

以上、よろしくお願いします。

Comments

[maisumakun]

コントローラー側のコードはどのようになっていますか？

Answer 1

ご質問を読んでの推測になります。
まちがいなどありましたら申し訳ありませんl

他のviewで以下をクリックして

<li class="nav-item"><%= link_to '新規投稿',books_path(current_user), class: 'nav-link' %></li>

フォームのソースが書かれているページへ遷移しているのかと、推測しました。
ですので、

<%= form.hidden_field :user_id, value:params[:user_id] %>

このようなコードがフォーム内に必要かと思います。
如何でしょうか？

注意
form.hiddenの前に
if params[:user_id]==current_user.id
などを付け足して、他のユーザーが登録できないようにして下さい。
また、user_idの部分はidかもしれません。
rails routes でルーティングをご確認下さい。

Comments

[maisumakun]

それをやると、ビューを書き換えて他人のIDを登録できることになってしまいます。

[tomtomtomtom]

マイナス評価をいただき誠に申し訳ありません。
修正いたしました。
ご指摘ありがとうございました。

[kazu_n]

回答をいただきありがとうございます。
教えていただいた内容で解決できました。

[tomtomtomtom]

無事解決できて何よりです。
こちらも、マイナス評価の理由がやっと理解できました。
よかったら、

1.
if params[:user_id]==current_user.id と
<%= form.hidden_field :user_id, value:params[:user_id] %>を消す。

2.
恐らく、bookscontrollerのcreateアクション内で、
if params[:user_id]==current_user.id を追加
newもしくはbuildのあとに
book.user_id=current_user.idを追加

これで、htmlを改ざんされても、問題ないかと思います。

>それをやると、ビューを書き換えて他人のIDを登録できることになってしまいます。
上記をうまく理解できずに誠に申し訳ありませんでした。

私の初期案でも、質問者様のご要望は満たしておりますが、
こちらは、より安全な策、実践的な策となります。

ご指摘いただき誠にありがとございました。