Rails开发中应当在什么场景下使用strong parameters（强参数）

首先明确强参数的设计定位：它是Rails框架为了防范批量赋值安全漏洞推出的校验机制，核心作用是限制仅允许你主动放行的参数可以被写入ActiveRecord模型，本身没有限制普通参数读取的作用。

两种场景的规则 #

• 数据修改/写入场景（调用模型create、update等方法做批量赋值时）：必须使用强参数，这是Rails的强制校验规则，如果直接把未经过permit处理的参数传给模型做赋值，会直接抛出ActiveModel::ForbiddenAttributesError异常。
• 数据查询/普通逻辑读取场景：不需要使用强参数。

你提到的用date1、date2做日期范围查询的场景，完全可以直接读取params里的对应参数使用，不需要做强参数过滤，比如下面的写法是完全合规的：

def index
  # 直接读取params中的查询参数即可，不需要permit处理
  @records = Record.where(created_at: params[:date1]..params[:date2])
end

可选使用的特殊场景 #

如果你需要对非模型赋值的参数做白名单过滤，也可以借用强参数的能力做参数校验，这属于可选的代码规范选择，不是强制要求：

# 示例：借用强参数过滤自定义查询的参数，避免接收多余无效参数
def query_params
  params.permit(:date1, :date2, :category)
end

内容的提问来源于stack exchange，提问作者N0ne