Rails 5嵌套属性场景下ActiveModel::ForbiddenAttributesError排查求助

你的问题核心出在create方法里手动构建Client的方式——你绕过了已经配置好的强参数保护，直接使用了未过滤的原始params[:invoice][:client_attributes]，这才触发了参数禁止错误。下面给你一步步的修正方案：

1. 修复控制器的create方法 #

你完全不需要手动调用build_client并传入原始参数，因为accepts_nested_attributes_for :client已经帮你处理了关联对象的创建逻辑。正确的做法是直接用经过强参数过滤的invoice_params初始化发票，再给关联的客户绑定当前用户：

def create
  @invoice = Invoice.new(invoice_params)
  
  # 只有当客户参数不为空（reject_if会过滤全空参数）时，才绑定当前用户
  @invoice.client.user = current_user if @invoice.client.present?

  if @invoice.save
    # 添加创建成功后的逻辑，比如跳转至发票详情页
    redirect_to @invoice, notice: '发票创建成功'
  else
    render :new
  end
end

2. 确认强参数的正确性 #

确保你的invoice_params包含了客户所需的所有字段，如果后续需要支持删除关联客户的场景，记得加上:_destroy（当前场景用不到，但可以提前了解）：

def invoice_params
  params.require(:invoice).permit(
    :param1, :param2, # 发票自身的参数
    client_attributes: [:id, :param1, :param2, :param3] # 客户的参数，id用于后续更新场景，新建时可省略但不影响
  )
end

为什么之前的代码会报错？ #

你之前的@client = @invoice.build_client(params[:invoice][:client_attributes])直接使用了未经过permit过滤的原始参数哈希，这完全绕过了Rails的强参数保护机制，自然会触发ForbiddenAttributesError。而accepts_nested_attributes_for的设计初衷，就是让你通过父模型的强参数自动处理关联对象的创建/更新，不需要手动构建关联对象。

另外，你在new方法里的@invoice.build_client是正确的，它会初始化一个空的Client对象用于表单渲染，这部分不需要改动。

内容的提问来源于stack exchange，提问作者Narf