Rails password_confirmation正在過濾設計

Question

我已經閱讀了幾年的教程，說你必須將config.filter_parameters更新爲之類的config.filter_parameters += [:password, :password_confirmation]，以便不將密碼存儲到您的日誌文件中。我也看過一些教程，只列出了config.filter_parameters += [:password]。我一直使用Devise，並且我注意到只要我有config.filter_parameters += [:password]（這是rails 3.2.13中的默認值），我的密碼和密碼確認都會被過濾。

爲什麼過濾password_confirmation？這是鐵軌嗎？設計？

顯然，這是我想要的行爲。只是好奇它爲什麼這樣工作。

Answer 1

這是一個軌道的事情：

http://api.rubyonrails.org/classes/ActionDispatch/Http/FilterParameters.html#method-i-parameter_filter

本質上的鍵是通過像/密碼正則表達式剛過/，如果匹配，則值轉換爲「[FILTERED]」]

所以字段匹配password_confirmation甚至do_not_filter_this_password都將結束默認過濾。