关于参数过滤（params.require/params.expect）的作用及无参数过滤风险的技术问询

嘿，先纠正个小笔误哦，你说的应该是params.permit（不是expect），它和params.require都是Rails里强参数（Strong Parameters）的核心方法～ 我来给你掰扯清楚为啥它们必不可少，哪怕数据库本身有约束。

首先，它主要防的是批量赋值攻击，而且解决的是数据库约束管不到的业务规则问题——数据库约束只能保证数据格式合法（比如字段类型、非空、外键存在），但管不了你业务里的权限、归属这类逻辑。

给你举个最直观的例子：
假设你有个User模型，数据库表有id、email、password_digest、is_admin这几个字段，其中is_admin是布尔值，默认普通用户注册时是false，只有后台管理员能手动设置这个字段。

如果你的控制器代码没做参数过滤，是这么写的：

def create
  @user = User.new(params[:user])
  if @user.save
    # 注册成功逻辑
  end
end

那恶意用户完全可以通过修改表单提交的参数（比如用浏览器开发者工具篡改请求、Postman模拟请求），偷偷在请求里加个user[is_admin]=true。这时候，因为没有强参数过滤，这个非法参数会被批量赋值给User对象，直接就能创建出一个拥有管理员权限的账号——数据库这里完全不会拦，因为is_admin字段本身就允许存true，但这直接突破了你设定的业务权限规则！

再给你举个破坏数据归属的例子：
你有个Post模型，字段包括title、content、user_id（关联文章的创建者ID）。如果没做参数过滤，恶意用户在提交新文章时，可以把post[user_id]改成其他用户的ID，这样这篇文章就会被算成别人发布的，直接破坏了数据归属的业务逻辑——数据库同样不会拒绝，因为user_id只要是存在的用户ID就符合约束，但业务上绝对不允许用户随意篡改文章归属。

除了防攻击，强参数还有这些实用价值：

• 避免冗余参数污染：前端可能不小心传了很多没用的参数（比如表单残留的隐藏域、调试用的临时参数），过滤后能让代码逻辑更清晰，也避免模型处理不必要的属性。
• 提升代码健壮性：如果后续给模型加了新字段（比如internal_note，只有后台能修改），只要没把这个字段加到permit列表里，前端就算传了这个参数也不会生效，能直接保护新字段不被误操作。

至于params.require，它的作用是做参数存在性校验——比如你创建文章时必须要有post这个参数组，params.require(:post)会确保请求里必须包含这个参数，否则直接抛出错误，避免因为参数缺失导致的空对象创建、逻辑报错，相当于提前把不合法的请求拦在外面。

内容来源于stack exchange