Rails 6控制器中如何为嵌套User设置安全默认值？

你担心用hidden_field暴露默认值有安全隐患是完全正确的——前端的值很容易被篡改，所以最佳实践是在服务器端（模型或控制器）处理默认值，而不是依赖前端。下面给你几种靠谱的方案，按推荐程度排序：

1. 模型层强制设置（最安全，符合MVC原则） #

把默认值的逻辑放在模型里，不管控制器或前端怎么传参，模型都会确保属性符合要求，这是最稳妥的方式。

比如在Account模型里添加回调，确保创建账户时的第一个用户拥有默认属性：

class Account < ApplicationRecord
  has_many :users, dependent: :destroy
  accepts_nested_attributes_for :users

  before_validation :ensure_default_user_attributes

  private

  def ensure_default_user_attributes
    # 确保账户至少关联一个用户
    if users.empty?
      users.build(owner: true, language: "FR")
    else
      # 强制第一个用户为账户所有者，同时设置默认语言（如果前端没传）
      primary_user = users.first
      primary_user.owner = true
      primary_user.language = "FR" if primary_user.language.blank?
    end
  end
end

这样就算用户篡改了前端表单的参数，模型回调也会自动修正，完全避免了安全问题。

2. 控制器Create动作中处理 #

如果不想在模型里加太多业务逻辑，可以在create动作里手动处理嵌套用户的默认值：

def create
  @account = Account.new(account_params)
  
  # 处理嵌套用户的默认值
  if @account.users.present?
    user = @account.users.first
    user.owner = true if user.owner.nil?
    user.language = "FR" if user.language.blank?
  else
    # 没有用户参数时，直接构建默认用户
    @account.users.build(owner: true, language: "FR")
  end

  if @account.save
    redirect_to root_url, notice: "Account created."
  else
    render :new
  end
end

这种方式也能确保默认值在服务器端设置，不会被前端篡改。

3. Strong Parameters中注入默认值 #

你还可以在强参数里直接补全默认值，让参数进入模型前就带上正确的属性：

private
def account_params
  params.require(:account).permit(:name, users_attributes: [:first_name, :last_name, :email, :password, :owner, :language]).tap do |permitted|
    # 处理嵌套用户参数
    if permitted[:users_attributes].present?
      permitted[:users_attributes].each do |_, user_attrs|
        # 补全默认值（仅当用户没传的时候）
        user_attrs[:owner] = true if user_attrs[:owner].nil?
        user_attrs[:language] = "FR" if user_attrs[:language].blank?
      end
    else
      # 没有用户参数时，直接添加默认用户的属性
      permitted[:users_attributes] = [{ owner: true, language: "FR" }]
    end
  end
end

关于with_defaults的说明 #

你提到的with_defaults其实和直接给build传参数效果一致，比如：

@account.users.build.with_defaults(owner: true, language: "FR")

它只是在new动作里给表单设置前端默认值，用户依然可以通过开发者工具修改这些值，所以不能单独用它来保证安全，必须配合服务器端的校验或默认值设置。

内容的提问来源于stack exchange，提问作者Tintin81