Как избежать уязвимости при массовом назначении с помощью динамических ролей?

Question

У меня есть модели пользователей, аккаунтов и ролей. Роль сохраняет тип отношений между учетной записью и пользователем.

Я оставил attr_accessible в Role пустым, чтобы предотвратить уязвимость массового присвоения (в противном случае злоумышленники могли бы изменить тип роли - владелец, администратор и т. Д. ..., учетные записи или идентификаторы пользователей).

А что, если администратор хочет изменить подписчика на модератор? Это вызовет исключение безопасности массового присвоения:

user = User.find(params[:id]) 
role = user.roles.find_by_account_id(params[:account_id]) 
role.type = "admin" 

Как это решить? Один из способов - создать отдельную модель для представления каждой роли (владельца, администратора, модератора, подписчика) и использовать шаблон типа STI. Это позволяет мне:

user = User.find(params[:id]) 
user.moderatorship.build(account_id: params([:account_id]) 

Нужна! Я должен был бы создать Onwership, Moderatorship, Subscribership и т. Д. И унаследовать их от Role. Если я хочу придерживаться одной модели ролей, как я могу иметь динамические роли, не подвергая себя уязвимости при массовом назначении?

Бонус вопрос: Должен ли я использовать HAS_MANY Пользователь роли (пользователь может иметь одну запись для каждого типа роли) или HAS_ONE роль (пользователь может иметь только одну роль записи, которая должна быть включена, если их изменения роли) шаблон ?

class User < ActiveRecord::Base 
    attr_accessible :name, :email 
    has_many :accounts, through: roles 
end 

class Account < ActiveRecord::Base 
    attr_accessible :title 
    has_many :users, through: roles 
end 

class Role < ActiveRecord::Base 
    attr_accessible 
    belongs_to: :user 
    belongs_to: :account 
end 

Answer 1

Вы можете использовать «как» с attr_accessible, чтобы иметь разные возможности назначения. Например,

attr_accessible :type, as: :admin 

Затем, когда вы делаете массовое назначение, вы можете сделать что-то вроде

@role.update_attributes {type: :moderator}, as: :admin # Will update type 
@role.update_attributes {type: :moderator} # Will not update type 

Answer 2

Наиболее гибкий подход является переопределить mass_assignment_authorizer метод в классе модели, чтобы изменить доступные атрибуты динамически.

Например:

class Article < ActiveRecord::Base 
    attr_accessible :name, :content 
    attr_accessor :accessible 

    private 
    def mass_assignment_authorizer 
    super + (accessible || []) 
    end 
end 

Теперь можно использовать это следующим образом:

@article.accessible = [:important] if admin? 

этого примера, из RailsCast #237, где вы можете узнать более подробную информацию об этом подходе.

---

Кроме того, я хочу порекомендовать вам CanCan драгоценный камень, который может помочь вам справиться с ролями и способностями.