🚫

Strong Parameters

Mass Assignment 공격 방지

Strong Parameters는 Mass Assignment 공격을 방지하는 Rails의 보안 기능입니다.

Mass Assignment 공격이란?

# 악의적인 사용자가 admin=true를 몰래 전송
POST /users { user: { name: "Hacker", email: "...", admin: true } }

방어:

def user_params
  params.require(:user).permit(:name, :email, :password)
  # admin 필드는 permit에 없으므로 자동 무시됨!
end

def create
  @user = User.new(user_params)  # 안전
  # @user = User.new(params[:user])  # 위험! (Rails 4 이전 방식)
end

중첩 파라미터:

params.require(:post).permit(
  :title, :content,
  tags: [],                           # 배열
  comments_attributes: [:id, :body]   # 중첩 모델
)

역할별 다른 허용 필드:

def user_params
  if current_user.admin?
    params.require(:user).permit(:name, :email, :role, :admin)
  else
    params.require(:user).permit(:name, :email)
  end
end