Ruby on Rails中查询参数的安全性与国际化翻译问题

直接在URL里暴露数据库列名存在安全隐患：攻击者可通过修改column参数尝试访问敏感列（如password_digest、email），甚至利用暴露的列名构造针对性攻击——虽然Rails的order方法有一定防护，但暴露数据库结构本身就扩大了攻击面。

隐藏列名的最优方案是使用别名映射表，将前端可见的友好别名与真实数据库列名绑定，只允许预定义的别名通过验证：

1. 在控制器中定义允许的排序映射：

# app/controllers/realestates_controller.rb
ALLOWED_SORT_COLUMNS = {
  price: :salesprice,
  created: :created_at,
  updated: :updated_at
}.freeze

def index
  # 验证并获取合法的排序列，默认值为salesprice
  sort_column = ALLOWED_SORT_COLUMNS[params[:sort_by].to_sym] || :salesprice
  # 验证排序方向，只允许asc/desc，默认升序
  sort_direction = %w[asc desc].include?(params[:direction]) ? params[:direction] : 'asc'
  @realestates = Realestate.order("#{sort_column} #{sort_direction}")
end

2. 前端链接改用别名参数：

<%= link_to realestates_path(sort_by: :price, direction: 'desc') do %>
  <i class="fa fa-caret-down"></i>Order by price
<% end %>

此时URL会变为/realestates?sort_by=price&direction=desc，完全隐藏真实列名，且只有预定义的别名能生效，彻底阻断恶意参数的影响。

结合已配置的i18n系统，只需将排序相关文本存入对应语言的翻译文件即可实现多语言支持：

1. 配置多语言YAML文件：

# config/locales/zh-CN.yml
zh-CN:
  realestates:
    sort:
      price: "按价格排序"
      created: "按创建时间排序"
      updated: "按更新时间排序"
    direction:
      asc: "升序"
      desc: "降序"

# config/locales/en.yml
en:
  realestates:
    sort:
      price: "Order by price"
      created: "Order by creation time"
      updated: "Order by update time"
    direction:
      asc: "Ascending"
      desc: "Descending"

2. 在视图中调用翻译方法：

<%= link_to realestates_path(sort_by: :price, direction: 'desc') do %>
  <i class="fa fa-caret-down"></i><%= t('realestates.sort.price') %> <%= t('realestates.direction.desc') %>
<% end %>

3. 若需根据当前URL参数动态显示对应翻译（比如当前排序为price desc时，显示“按价格降序”），可在控制器传递当前参数到视图：

# app/controllers/realestates_controller.rb
def index
  # 其他逻辑...
  @current_sort_by = params[:sort_by].to_sym || :price
  @current_direction = params[:direction] || 'asc'
end

<!-- 视图中动态渲染 -->
<p>当前排序：<%= t("realestates.sort.#{@current_sort_by}") %> <%= t("realestates.direction.#{@current_direction}") %></p>

内容的提问来源于stack exchange，提问作者Gogamar