ruby-on-rails - 将密码字段设置为 attr_accessible 是否安全？

Question

attr_accessible :email, :password, :password_confirmation

如果没有，您能否给出在删除 attr_accessible 时防止“未定义”错误的方法示例。

Answer 1

很安全。 Attr_accessible 仅对控制应用程序逻辑的属性有危险。例如，如果您有一个标志说“是的，我已经检查过该用户是管理员”，并且它可以由用户设置，因为它是 attr_accessible，那么它就是一个漏洞。

由于密码无论如何都是由用户提供的一条信息，因此使其可由同一用户设置不会改变任何内容。