Rails ActionController：如何仅遍历用户提供的请求参数？

一、过滤Rails自动注入的保留参数 #

Rails已经预定义了所有自动添加的保留参数集合：ActionController::Parameters::RESERVED_PARAMS，直接用这个常量过滤参数，不用硬编码具体键名：

# 在JSON API控制器的before_action中实现校验逻辑
before_action :validate_allowed_params

def validate_allowed_params
  # 排除所有Rails保留参数，仅保留用户提交的参数
  user_submitted_params = params.except(*ActionController::Parameters::RESERVED_PARAMS)
  
  # 按当前动作定义允许的参数列表
  allowed_params = case action_name
                   when 'create' then [:name, :email, :password]
                   when 'update' then [:name, :email]
                   else []
                   end
  
  # 检查是否存在非法参数
  invalid_params = user_submitted_params.keys.map(&:to_sym) - allowed_params
  unless invalid_params.empty?
    render json: { error: "不允许的参数: #{invalid_params.join(', ')}" }, status: :bad_request
  end
end

这种方式会自动覆盖所有Rails保留参数（比如controller、action、format等），无需手动维护允许列表，避免遗漏。

如果需要更精细的遍历过滤，也可以用reject方法：

user_submitted_params = params.reject { |key, _| ActionController::Parameters::RESERVED_PARAMS.include?(key.to_sym) }

二、关于保留参数是否属于遗留冗余 #

这些自动添加的参数并非完全冗余：

• 历史兼容：早期Rails的路由分发逻辑依赖这些参数定位控制器和动作，保留是为了兼容旧代码。
• 实用场景：在手动构造路由参数、编写集成测试模拟请求时，直接使用这些参数会更便捷，无需单独调用action_name或request.format。
• API开发视角：在现代JSON API开发中，确实很少直接用到这些参数——因为可以通过控制器实例方法（action_name、controller_name）和请求对象（request.format）获取更可靠的信息，所以过滤它们做参数校验是完全合理的。

内容的提问来源于stack exchange，提问作者Brauser