Rails 5.1.6遇ActionController::UnfilteredParameters报错求解决

问题描述 #

我在Rails 5.1.6中遇到了ActionController::UnfilteredParameters报错，错误信息为：

unable to convert unpermitted parameters to hash

触发报错的代码如下：

link_to params.to_h.merge(query_hash), options do 
  raw("#{title} " + fa_icon(icon)) 
end

我尝试过两种方案，但都无效：

• 第一种方案：

  request.parameters.merge(query_hash)
  

• 第二种方案：

  safe_params = params.permit(params.keys.flatten) 
  link_to safe_params.to_h.merge(query_hash), options do 
    raw("#{title} " + fa_icon(icon)) 
  end
  

请问有遇到过此类问题的开发者吗？恳请提供解决思路。

解决思路与可行方案 #

我之前在Rails 5.x版本也碰到过完全一样的问题，本质是Rails 5+引入的强参数安全机制：params对象是ActionController::Parameters实例，当里面包含未被permit的参数时，直接调用to_h就会抛出这个错误，目的是防止意外泄露敏感参数。

方案1：使用to_unsafe_h绕过限制（快速解决）

如果你的场景不需要严格的参数过滤（比如内部管理页面），可以直接用to_unsafe_h方法，它会忽略强参数的限制，直接把params转为Hash：

link_to params.to_unsafe_h.merge(query_hash), options do 
  raw("#{title} " + fa_icon(icon)) 
end

方案2：明确允许所需参数（安全推荐）

如果要遵循Rails的安全规范，最好明确指定需要保留的参数，而不是盲目允许所有参数。比如你需要保留:page、:sort、:keyword这些参数，就这么写：

safe_params = params.permit(:page, :sort, :keyword).to_h
link_to safe_params.merge(query_hash), options do 
  raw("#{title} " + fa_icon(icon)) 
end

方案3：临时允许所有参数（谨慎使用）

如果确实需要保留所有参数，可以用permit!方法一次性允许所有参数，但注意这个方法会关闭当前params对象的强参数校验，只建议在完全信任的场景下使用：

safe_params = params.permit!.to_h
link_to safe_params.merge(query_hash), options do 
  raw("#{title} " + fa_icon(icon)) 
end

为什么之前的方案无效？ #

• 第一种用request.parameters的方案：request.parameters本质上和params是同一类对象，同样受强参数机制限制，所以还是会报错。
• 第二种用params.permit(params.keys.flatten)的方案：params.keys可能包含嵌套参数（比如user[name]的key是:user），直接flatten会破坏参数结构，而且permit方法对嵌套参数需要明确声明（比如permit(user: [:name, :email])），否则这些嵌套参数会被过滤掉，转Hash时依然会触发报错。

内容的提问来源于stack exchange，提问作者Salil