Carriles 3 - Pasar user.id en el campo de formulario oculto vs utilizando asociación

Question

Ok por lo que actualmente tengo una forma

<div class="field"> 
    <%= f.label :title %><br/> 
    <%= f.text_field :title %><br/> 
    <%= f.label :itunesurl %><br /> 
    <%= f.text_field :itunesurl %><br /> 
    <%= f.hidden_field :user_id, :value => current_user.id %> 
</div> 
<div class="actions"> 
    <%= f.submit %> 
</div> 

cual pasa el current_user.id en el método de crear mi modelo "aplicación" que crea Quiero ser como esto antes de guardarla:

@app = App.new(params[:app]) 

Sin embargo tengo asociaciones de (pseudo)

user has_many apps 
apps belongs_to user 

pregunta: ¿es Es más seguro (para que el formulario no se modifique) hacer algo como esto dentro del método create?

@user = current_user 
@app = @user.apps.create(params[:app]) 

Si es así ... ¿cómo es exactamente hago para implementar realmente el código anterior (no es sintácticamente correcta .. sólo pseudo)?

Gracias!

Answer 1

Sí utilizando la segunda forma en que usted ha sugerido es el mejor enfoque

@user = current_user 
@app = @user.apps.create(params[:app]) 

También asegúrese de que usted se protege de la asignación de masas, toma una lectura de este http://stephensclafani.com/2010/01/04/ruby-on-rails-secure-mass-assignment/

Answer 2

El segundo fragmento de código es más "RESTful" que el primero. Por más RESTful, quiero decir, si una aplicación es un recurso al que se accede lógicamente a través de un usuario, entonces úsala.

La forma de poner esto en marcha a través de rutas:

resources :users do 
    resources :apps 
end 

esto le dará caminos como user_app_path y new_user_app_path, a la que se pasa un identificador de usuario y un ID de aplicación o una nueva aplicación.

Esperanza esto ayuda

Answer 3

Es absolutamente seguro que hacerlo de la segunda forma. Si lo haces de la primera manera, estás confiando en que el cliente diga quiénes son. Cualquiera puede modificar fácilmente el formulario (con Firebug, o pueden enviar manualmente una solicitud POST con muchas herramientas) y terminar enviando un formulario con el current_user de otra persona.

Asegúrate de aplicar este pensamiento en todas partes a través de tu aplicación. No confíes en nada que el cliente envíe, nunca.