[rails] controller内でparamsの値によって処理を分けたい。

Question

###前提・実現したいこと
rails controllerのcreate処理内でparams[:hoge]の値によって処理を分けたい。

###発生している問題・エラーメッセージ
hidden_fieldで定義しているパラメーターhogeの値はchormeの検証ツールなどHTML上で改竄できるので、悪意のあるユーザによって改竄されると、予期しない処理を行えてしまう。

<input type="hidden" name="hoge" id="hoge" value="true">
# ここのvalueを検証ツールなどでfalseに改竄されると、予期しない処理に分岐される。

###該当のソースコード

class HogeController
  def create
    if params[:hoge] == "true"
      #処理A
    elsif params[:hoge] == "false"
      #処理B
    else
      #処理C
    end
  end
end

paramsを使用しないで処理を分岐できる方法か、改竄されないような方法はありませんでしょうか。。

Answer 1

外部からの入力が改ざんを防ぐ方法はないので、必ずサーバ側(コントローラ)で値の妥当性をチェックしないといけません。
また、外部からの入力はparamsで受け取る方法しかないので、paramsを使わないという選択肢もありません。

予期しない不正な値については、きれいな画面でエラー表示する必要もないので、
不正リクエストを表すHTTPステータスコード401で、単にBad Requestというテキストを表示するだけで良いかもしれません。

class HogeController
  before_action :check_params, only: [:create]

  def create
    if params[:hoge] == "true"
      #処理A
    elsif params[:hoge] == "false"
      #処理B
    end
  end
 
  private

  def check_params
    unless params[:hoge] =~ /\A(true|false)\z/
      render text: "Bad Request", status: 401
    end
  end
end

Comments

[steroid66]

回答、ありがとうございます！
予期しない不正な値の場合ですと、ご教示いただいた通りのBadRequestで良い思うのですが、
例えば直前のviewで「はい」ボタンを押下時にparams[:hoge] = true を渡して処理A(正常処理)に進んでほしい場合、外部入力で値をfalseに変更されてしまうと、処理B(ユーザアカウントをロックする)に進んでしまう危険性は防げないでしょうか。。

[mingos]

コントローラから見たらparams[:hoge]の値がtrueまたはfalseであれば正常な操作であり、
その値に従って処理すれば良いのであって、VIEW側で直前に何をされたかは問題ではないですよね。
普通にブラウザで操作する一般ユーザは、それで特に不利益を被るわけではないですし。

今回の質問のコードでは、params[:hoge]しか登場しないので、
この１つの値だけではどう頑張っても操作の流れの正当性までは保証できません。

<input type="hidden" name="hoge" id="hoge" value="true">
<input type="submit" name="btn_yes" value="はい">
<input type="submit" name="btn_no" value="いいえ">

例えば、こういうボタンがあるとして、
サブミットはクリックされたボタンの値だけがparamsにわたってくるので、
params[:btn_yes] && params[:hoge] == "true"
params[:btn_no] && params[:hoge] == "false"
のセットで判断するとか？

いずれにしても、心配し過ぎ、やり過ぎになるとメンテナンスコストが跳ね上がるので
アプリの特性に合わせて手を抜けるところは抜いたほうがいいかなと思います。

[steroid66]

なるほど！ボタンの名前とセットで判断できるのですね。。
確かに悪意を持ったユーザーに対してどこまでやるかっていうのは、コードの保守性も考えるとおっしゃる通りですね。どこまでやるかは考えてみます！
ありがとうございました！