Richard Huang's Website

activerecord属性保护

最近在看rails安全方面的书，第一部分就是关于生成activerecord对象的参数保护问题。平时一直使用，今天心血来潮想起要看看源代码是如何实现的。

activerecord属性保护就是通过attr_accessible和attr_protected来声明哪些属性可以访问，哪些不可以访问。当然，这些保护只是针对new, create和update_attributes方法，对于直接使用attribute=就无能为力了。

attr_accessible的源码为

def attr_protected(*attributes)
  write_inheritable_attribute(:attr_protected, Set.new(attributes.map()) + (protected_attributes || []))
end

原来activerecord会生成一个attr_protected属性，来记录所有的需要被保护的字段

同样attr_accessible会生成attr_accessible属性

def attr_accessible(*attributes)
  write_inheritable_attribute(:attr_accessible, Set.new(attributes.map()) + (accessible_attributes || []))
end

然后，在传递attributes的时候会调remove_attributes_protected_from_mass_assignment

def remove_attributes_protected_from_mass_assignment(attributes)
  safe_attributes =
    if self.class.accessible_attributes.nil?  self.class.protected_attributes.nil?
      attributes.reject { |key, value| attributes_protected_by_default.include?(key.gsub(/\(.+/, "")) }
    elsif self.class.protected_attributes.nil?
      attributes.reject { |key, value| !self.class.accessible_attributes.include?(key.gsub(/\(.+/, "")) || attributes_protected_by_default.include?(key.gsub(/\(.+/, "")) }
    elsif self.class.accessible_attributes.nil?
      attributes.reject { |key, value| self.class.protected_attributes.include?(key.gsub(/\(.+/,"")) || attributes_protected_by_default.include?(key.gsub(/\(.+/, "")) }
    else
      raise "Declare either attr_protected or attr_accessible for #{self.class}, but not both."
    end

  removed_attributes = attributes.keys - safe_attributes.keys

  if removed_attributes.any?
    log_protected_attribute_removal(removed_attributes)
  end

  safe_attributes
end