Rails Валидация по атрибуту has_many

Question

У меня есть Company, User и Department модель. Существует несколько разных компаний, каждая из которых - has_many отделов.

A User может принадлежать нескольким Departments через таблицу UserDepartments.

В моей форме для User, я использую:

<%= f.collection_check_boxes :department_ids, @user.company.departments.all, :id, :name %> 

Что является лучшей практикой для проверки того, что злоумышленник не использовать Curl и т.д., чтобы опубликовать department_id, что не принадлежит компании пользователя?

В настоящее время я использую следующую таблицу соединений, но мне интересно, есть ли более приемлемая практика?

class UserDepartment < ActiveRecord::Base 
    belongs_to :user 
    belongs_to :department 

    validate :check_company_matches 

    private 
    def check_company_matches 
     unless user.company_id == department.company_id 
     errors.add(:user, "This department does not match the user's company.") 
     end 
    end 
end 

В отдельной записке, если пользователь делает отправить вредоносный идентификатор, рельсы показывает страницу скорее исключения, чем обычная страницу формы визуализации с объектом ошибки; почему это?

Еще одним незначительным моментом неплатежеспособности является то, что при отправке пользовательской формы с указанием 5 различных отделов эта проверка будет создавать 5 SQL-запросов. Предположительно это можно сделать с помощью одного запроса, если сама модель User провела проверку. Естественно, целостность данных - моя главная проблема.

Спасибо.

Answer 1

То, что остановит вредоносного пользователя от зависания на вашем сервере, это csrf_token, поэтому Rails заботится об этом. Вероятно, это ошибка, которую вы видите.

Я бы сохранил бизнес-логику, как подтверждение на Веществе, которое оно проверяет. Таблица соединений - это не сама Вещь; на самом деле у него нет Вещей.

Итак, переместив проверку на пользователя, вы держите логику в одном месте и избегаете дополнительного sql.

def ensure_departments_in_company 
    company_department_ids = company.departments.pluck(:id) 
    unless deparment_ids.map { |id| id.in?(company_department_ids) }.all? 
    errors.add(:user, "This department does not match the user's company.") 
    end 
end