這是一個很好的實現user_params強參數嗎？

Question

def user_params 
    if current_user.admin? 
    params.require(:user).permit(:name, :email, :password, :student, :admin) 
    else 
    params.require(:user).permit(:name, :email, :password) 
    end       
end 

我想管理員能夠更新用戶的角色。

Users_params是爲了防止黑客修改用戶的角色，強大的參數。

下面的代碼不安全，對嗎？我在GitHub上看到了這個代碼。

def user_params 
    params.require(:user).permit(:name, :email, :password, :student, :admin)       
end 

Answer 1

def user_params 
    if current_user.admin? 
    params.require(:user).permit! 
    else 
    params.require(:user).permit(:name, :email, :password) 
    end       
end