在rails中attr_accessible是Mass Assignment exploit的救星

查railscast一则教程,写到使用curl可以方便模拟一个包来hack

curl -X PUT可以设置HTTP 命令

curl -d可以POST数据

attr_protected有如鸡肋,在has many下竟然可以级联update其它属性.直接使用attr_accessible就可以指定赋值对象了.

所以在model中要使用attr_accessible,限制更新字段.