REST ใน Rails — resources, ช่องโหว่ mass assignment และ params.expect

ทวน — REST และ resources :posts คือ 7 เมนูมาตรฐาน วางข้าง Gin ทีละแถว

REST คือคำที่คุณเจอแล้วในฝั่ง Go (บท 33) · ภาษาคน: ตั้งชื่อ URL เป็นชื่อของ (คำนาม เช่น /posts) แล้วให้ verb (GET · POST · PATCH · DELETE) บอกว่าจะทำอะไรกับของนั้น · ไม่ตั้ง URL เป็นคำกริยาอย่าง /deletePost

ในร้านเรา REST คือกฎแฟรนไชส์ที่ให้ทุกแผนกรับใบสั่งรูปแบบเดียวกัน: ชื่อแผนก + เลขจาน (ถ้ามี) + อยากทำอะไร · "ของหนึ่งชนิดที่มี URL ของตัวเอง" (บทความ · คอมเมนต์) เรียกว่า resource — ที่มาของชื่อคำสั่ง resources

ในบท 101 เราพิมพ์ resources :posts บรรทัดเดียว แล้ว Rails ลงรายการให้พนักงานต้อนรับครบชุด · สไลด์หน้า 46 นับได้ 7 route แต่ตอนรัน bin/rails routes ในบท 101 เราเห็น 8 แถว — ไม่มีใครผิด:

$ bin/rails routes -c posts
   Prefix Verb   URI Pattern               Controller#Action
    posts GET    /posts(.:format)          posts#index
          POST   /posts(.:format)          posts#create
 new_post GET    /posts/new(.:format)      posts#new
edit_post GET    /posts/:id/edit(.:format) posts#edit
     post GET    /posts/:id(.:format)      posts#show
          PATCH  /posts/:id(.:format)      posts#update
          PUT    /posts/:id(.:format)      posts#update
          DELETE /posts/:id(.:format)      posts#destroy

ดูคอลัมน์ขวาสุด · PATCH กับ PUT ไปที่ posts#update เมนูเดียวกัน · นับเป็น "เมนู" (action) ได้ 7 · นับเป็น "บรรทัดในรายการ" ได้ 8 · เวลาคนพูดว่า "resources ให้ 7 route" เขานับเมนู

นี่คือ 7 เมนูนั้น วางข้างโค้ด Gin ที่คุณเคยเขียนในบท 38 (คอลัมน์ Gin ยกมาจากสไลด์หน้า 46):

ฝั่ง Gin มีแค่ 5 เพราะตอนนั้นเราทำ API ที่ตอบเป็น JSON ให้โปรแกรมอื่นอ่าน ไม่มีหน้าฟอร์มให้คนกรอก · Rails ทำเว็บที่มีหน้าฟอร์มด้วย เลยมี new กับ edit เพิ่ม

ที่เหลือของครึ่งแรกคือ 4 ท่าสำหรับวันที่เซ็ตมาตรฐานไม่พอดีกับร้านเรา · ทุกท่าผมรัน bin/rails routes จริงให้ดูผล

ท่าที่ 1 · ตัดเมนูที่ไม่ใช้ทิ้ง — only: กับ except:

ถ้าแอปเรายังไม่มีหน้าลบบทความ ก็ไม่ควรเปิดทาง DELETE /posts/:id ทิ้งไว้ · เส้นที่เปิดไว้แต่ไม่ได้ใช้ คือประตูที่ไม่มีคนเฝ้า วันหนึ่งมีคนเผลอเขียน def destroy เพิ่มเข้ามา ประตูนั้นก็ใช้ได้ทันทีโดยไม่มีใครตั้งใจ

# config/routes.rb
resources :posts, only: [:index, :show]

$ bin/rails routes -c posts
Prefix Verb URI Pattern          Controller#Action
 posts GET  /posts(.:format)     posts#index
  post GET  /posts/:id(.:format) posts#show

• only: [:index, :show] — "เอาแค่เมนูในรายการนี้" · ผลคือเหลือ 2 เส้นจาก 8 · [ ] คือ array ของ symbol (บท 92)
• เขียน only: ต่อท้ายด้วยลูกน้ำได้ เพราะเป็น hash ท้าย argument ที่ไม่ต้องใส่ปีกกา (บท 97)

ถ้าอยากได้เกือบครบ ขาดแค่ตัวเดียว ใช้ except: (= "ทุกเมนู ยกเว้น…") จะสั้นกว่า:

resources :posts, except: [:destroy]

$ bin/rails routes -c posts
   Prefix Verb  URI Pattern               Controller#Action
    posts GET   /posts(.:format)          posts#index
          POST  /posts(.:format)          posts#create
 new_post GET   /posts/new(.:format)      posts#new
edit_post GET   /posts/:id/edit(.:format) posts#edit
     post GET   /posts/:id(.:format)      posts#show
          PATCH /posts/:id(.:format)      posts#update
          PUT   /posts/:id(.:format)      posts#update

แถว DELETE หายไป · ตอนนี้ใบสั่ง DELETE /posts/1 จะได้ Routing Error ทันที (ผมถาม router ดูแล้วได้ No route matches "/posts/1" · พนักงานต้อนรับไม่มีบรรทัดนี้ในรายการ — 404 แบบที่ 1 ของบท 101)

ท่าที่ 2 · ซ้อนกัน — คอมเมนต์ของบทความเลขไหน

คอมเมนต์ไม่ได้ลอยอยู่เฉย ๆ มันอยู่ใต้บทความเสมอ (ในตู้ ใบคอมเมนต์มีช่อง post_id — บท 115) · เวลาจะเขียนคอมเมนต์ใหม่ URL ก็ควรบอกด้วยว่า "ใต้บทความเลขไหน" · Rails ทำได้ด้วยการวาง resources ซ้อนใน do … end:

# config/routes.rb
resources :posts do
  resources :comments
end

$ bin/rails routes -c comments
           Prefix Verb   URI Pattern                                 Controller#Action
    post_comments GET    /posts/:post_id/comments(.:format)          comments#index
                  POST   /posts/:post_id/comments(.:format)          comments#create
 new_post_comment GET    /posts/:post_id/comments/new(.:format)      comments#new
edit_post_comment GET    /posts/:post_id/comments/:id/edit(.:format) comments#edit
     post_comment GET    /posts/:post_id/comments/:id(.:format)      comments#show
                  PATCH  /posts/:post_id/comments/:id(.:format)      comments#update
                  PUT    /posts/:post_id/comments/:id(.:format)      comments#update
                  DELETE /posts/:post_id/comments/:id(.:format)      comments#destroy

ของใหม่ในตารางนี้มีสามอย่าง:

• ทุก URL ขึ้นต้นด้วย /posts/:post_id/ — ช่องว่างที่รอเติมเลขบทความ · ชื่อช่องคือ :post_id ไม่ใช่ :id เพราะ :id สงวนไว้ให้เลขของคอมเมนต์เอง · ใน controller อ่านด้วย params[:post_id]
• ยังไปแผนก comments (= CommentsController) ไม่ใช่แผนก posts · การซ้อนเปลี่ยนแค่หน้าตา URL ไม่ได้ย้ายแผนก
• ชื่อ route ได้คำว่า post_ นำหน้า — post_comments · post_comment → helper คือ post_comments_path · post_comment_path (หัวข้อ route helper ด้านล่าง)

เทียบกับ Go: ใน Gin คุณเขียนเองว่า r.POST("/posts/:post_id/comments", h.CreateComment) แล้วอ่าน c.Param("post_id") · Rails ได้ชุดนี้ครบ 8 บรรทัดจากการวาง resources :comments ไว้ใน block ของ posts

กฎ: ซ้อนแค่ชั้นเดียวพอ

ถ้าคอมเมนต์มีการตอบกลับ (replies) อีกชั้น แล้วซ้อนลงไปตรง ๆ จะได้แบบนี้ (ตัดมา 3 แถวจาก 8):

# ❌ ซ้อนสองชั้น
resources :posts do
  resources :comments do
    resources :replies
  end
end

$ bin/rails routes -c replies
                 Prefix Verb   URI Pattern                                                     Controller#Action
   post_comment_replies GET    /posts/:post_id/comments/:comment_id/replies(.:format)          replies#index
edit_post_comment_reply GET    /posts/:post_id/comments/:comment_id/replies/:id/edit(.:format) replies#edit
     post_comment_reply GET    /posts/:post_id/comments/:comment_id/replies/:id(.:format)      replies#show

URL ยาวเป็นพรืด และทุกครั้งที่สร้างลิงก์ต้องส่งเลขครบสามตัว (บทความ · คอมเมนต์ · การตอบ) · คู่มือ Rails เองแนะนำว่า ซ้อนไม่เกิน 1 ชั้น · สไลด์หน้า 47 เรียก /posts/1/comments/2/replies/3 ว่า "สัญญาณว่าออกแบบผิด"

ทางออกคือ: ใช้ URL ซ้อนเฉพาะตอนที่ต้องรู้แม่ (ดูรายการคอมเมนต์ของบทความ · เขียนคอมเมนต์ใหม่ใต้บทความ) · ส่วนคอมเมนต์ที่มีเลขของตัวเองแล้ว ใช้ URL สั้น /comments/9 ได้เลย เพราะคอมเมนต์ 9 รู้อยู่แล้วว่าตัวเองอยู่ใต้บทความไหน · Rails มีตัวเลือก shallow: true ที่ทำแบบนี้ให้อัตโนมัติ (แค่รู้จักไว้ · ตัวอย่างเต็มอยู่ในคู่มือ Rails ลิงก์แรกของหัวข้ออ้างอิง):

resources :posts do
  resources :comments, shallow: true   # index · new · create ซ้อน · ที่เหลือใช้ /comments/:id
end

ท่าที่ 3 · เมนูพิเศษ — member กับ collection

ร้านเราอยากได้สองหน้าที่ไม่อยู่ในเซ็ตมาตรฐาน: ปุ่ม "เผยแพร่" ของบทความหนึ่งชิ้น (publish) และหน้ารวมบทความที่ยังเป็นร่าง (drafts) · สองอย่างนี้ต่างกันตรงที่ อันแรกต้องรู้ว่าบทความชิ้นไหน (มีเลข id) · อันหลังเป็นเรื่องของทั้งแผนก (ไม่มีเลข id)

# config/routes.rb
resources :posts do
  member do
    post :publish        # เรื่องของบทความชิ้นเดียว → มี :id
  end
  collection do
    get :drafts         # เรื่องของทั้งแผนก → ไม่มี :id
  end
end

$ bin/rails routes -c posts
      Prefix Verb   URI Pattern                  Controller#Action
publish_post POST   /posts/:id/publish(.:format) posts#publish
drafts_posts GET    /posts/drafts(.:format)      posts#drafts
       posts GET    /posts(.:format)             posts#index
             POST   /posts(.:format)             posts#create
    new_post GET    /posts/new(.:format)         posts#new
   edit_post GET    /posts/:id/edit(.:format)    posts#edit
        post GET    /posts/:id(.:format)         posts#show
             PATCH  /posts/:id(.:format)         posts#update
             PUT    /posts/:id(.:format)         posts#update
             DELETE /posts/:id(.:format)         posts#destroy

• member do … end — "เมนูสำหรับบทความชิ้นเดียว" · ได้ /posts/:id/publish · ชื่อ publish_post (เอกพจน์)
• post :publish — คำว่า post ตรงนี้คือ verb POST (เหมือน get ในบท 101) ไม่ใช่ชื่อ model · ที่ใช้ POST เพราะการเผยแพร่คือ "เปลี่ยนข้อมูล"
• collection do … end — "เมนูสำหรับทั้งแผนก" · ได้ /posts/drafts ไม่มี :id · ชื่อ drafts_posts (พหูพจน์)
• สังเกตว่าสองเส้นใหม่ถูกวางไว้บนสุด เหนือ /posts/:id · Rails จัดให้เอง /posts/drafts เลยไม่โดน :id แย่งไปเป็น show (กับดักเรื่องลำดับในบท 101)

เทียบกับ Go: ใน Gin ไม่มีคำว่า member/collection · คุณแค่เขียนเพิ่มสองบรรทัด r.POST("/posts/:id/publish", h.Publish) กับ r.GET("/posts/drafts", h.Drafts) · Rails แยกสองคำนี้ไว้เพื่อให้มันเติม :id ให้ถูกและตั้งชื่อ route ให้เอง

ท่าที่ 4 · ของที่มีชิ้นเดียว — resource (ไม่มี s)

บางอย่างผู้ใช้แต่ละคนมีแค่ชิ้นเดียว เช่น "หน้าโปรไฟล์ของฉัน" · ไม่มีหน้ารวมโปรไฟล์ทุกคน และไม่ต้องใส่เลข id ใน URL เพราะ "ของฉัน" ก็คือของคนที่ login อยู่ (ระบบ login มาใน Day 4) · ใน Gin คุณก็แค่เขียน r.GET("/profile", h.ShowProfile) ไม่มี :id · Rails ใช้ resource ที่ไม่มี s:

# config/routes.rb
resource :profile

$ bin/rails routes -c profile

$ bin/rails routes -c profile
      Prefix Verb   URI Pattern             Controller#Action
 new_profile GET    /profile/new(.:format)  profiles#new
edit_profile GET    /profile/edit(.:format) profiles#edit
     profile GET    /profile(.:format)      profiles#show
             PATCH  /profile(.:format)      profiles#update
             PUT    /profile(.:format)      profiles#update
             DELETE /profile(.:format)      profiles#destroy
             POST   /profile(.:format)      profiles#create

route helper — ทวนแล้วต่อยอดให้เส้นที่ซ้อน

ในบท 101 เราได้ post_path(42) ที่ประกอบ URL จากชื่อ route · พอ route ซ้อนกัน ชื่อ helper ก็ต่อกันตามไปด้วย · ผมลองใน console (app. ข้างหน้า = ตัวช่วยใน console ที่ทำตัวเหมือน browser — ตัวเดียวกับ app.get ในบท 104 — จึงเรียก helper ของ route ได้ · ใน controller กับ view ไม่ต้องใส่ app.):

wongnok-blog(dev):001> post = Post.find(5)
  Post Load (1.4ms)  SELECT "posts".* FROM "posts" WHERE "posts"."id" = 5 LIMIT 1 /*application='WongnokBlog'*/
wongnok-blog(dev):002> app.post_path(post)
=> "/posts/5"
wongnok-blog(dev):003> app.edit_post_path(post)
=> "/posts/5/edit"
wongnok-blog(dev):004> app.post_comments_path(post)
=> "/posts/5/comments"
wongnok-blog(dev):005> app.post_comment_path(post, post.comments.first)
  Comment Load (1.5ms)  SELECT "comments".* FROM "comments" WHERE "comments"."post_id" = 5 ORDER BY "comments"."id" ASC LIMIT 1 /*application='WongnokBlog'*/
=> "/posts/5/comments/5"
wongnok-blog(dev):006> app.polymorphic_path(post)
=> "/posts/5"

(routes ตอนรันคือ resources :posts do resources :comments end · ผมตัดบรรทัดที่ console พิมพ์แฟ้มบทความทั้งแผ่นออกหลังบรรทัด 001)

• post_path(post) — ส่งตัวบทความทั้งแผ่นเข้าไปได้ ไม่ต้องส่ง post.id · Rails หยิบเลข id ให้เอง
• SQL บรรทัด Post Load แปลว่า "ขอแฟ้มทุกช่องจากลิ้นชัก posts เฉพาะแผ่นที่ช่อง id เป็น 5 เอาแผ่นเดียว"
• post_comments_path(post) — ชื่อแม่ + ชื่อลูก · ต้องส่งบทความเข้าไป เพราะ URL ต้องการเลขบทความ
• post_comment_path(post, comment) — เส้นที่มีเลขสองตัว ต้องส่งสองอย่าง เรียงแม่ก่อนลูก · SQL Comment Load = "ขอคอมเมนต์แผ่นแรกจากลิ้นชัก comments เฉพาะที่เป็นของบทความ 5 เรียงตามเลข id" ได้คอมเมนต์เลข 5
• polymorphic_path(post) — กลไกเดียวกับที่อยู่เบื้องหลัง redirect_to @post (บท 110) · Rails ดูว่าของที่ส่งมาเป็น Post → เดาว่าต้องใช้ post_path → ได้ /posts/5 (ตอน redirect_to มันใช้ตัวพี่น้องที่ได้ URL เต็มมี http://… นำหน้า แต่หลักการเดาเหมือนกัน)

ประโยชน์เหมือนเดิมกับบท 101: ถ้าวันหนึ่งเปลี่ยน URL จาก /posts เป็น /articles แก้แค่ routes.rb · ทุกที่ที่ใช้ post_path ได้ URL ใหม่ทันที ไม่ต้องไล่แก้ข้อความ "/posts" ที่พิมพ์ไว้ 20 ที่

เตรียมยิงใบสั่งจริง — แอปทดลองสำหรับครึ่งหลัง

ครึ่งหลังเราจะส่งข้อมูลเข้า action create แล้วดูว่าอะไรลงตู้บ้าง · ต้องมีสามไฟล์ · ถ้าคุณมีไฟล์ชื่อเดียวกันจากบทก่อน ๆ อยู่แล้ว แทนที่ทั้งไฟล์ด้วยอันนี้ (ใช้ git ย้อนกลับได้ทีหลัง)

# config/routes.rb
Rails.application.routes.draw do
  resources :posts, only: [:index, :create]
end

<%# app/views/posts/index.html.erb %>
<h1>บทความทั้งหมด</h1>
<ul>
  <% @posts.each do |post| %>
    <li><%= post.title %> · <%= post.views %> วิว</li>
  <% end %>
</ul>

# app/controllers/posts_controller.rb
class PostsController < ApplicationController
  def index
    @posts = Post.order(:id)
  end

  def create
    @post = Post.new(params[:post])
    @post.user = User.first   # ชั่วคราว: ยังไม่มีระบบ login
    @post.save!
    render plain: "บันทึกแล้ว: #{@post.attributes.slice("title", "views", "published", "user_id")}\n"
  end
end

• index + view — มีไว้ให้เราไปขอบัตรคิว (CSRF token) เท่านั้น · หน้าที่มี layout จะมีรหัสฝังอยู่ใน <head> (บท 103) · Post.order(:id) = บทความทั้งหมดเรียงตามเลข id (บท 113)
• params[:post] — ฟอร์มของ Rails ตั้งชื่อช่องว่า post[title] · post[body] · Rails จึงรวบเป็นกลุ่มเดียว {"title" => …, "body" => …} ไว้ใน params[:post]
• Post.new(params[:post]) — "สร้างแฟ้มบทความจากทุกช่องในกลุ่มนั้นรวดเดียว" · บรรทัดนี้คือตัวเอกของครึ่งหลัง
• @post.user = User.first — ใส่ผู้เขียนเป็นสมชาย (คนแรกในตู้) แบบเดียวกับบท 110 · ของจริงคือคนที่ login อยู่ (Day 4)
• render plain: … — ตอบเป็นข้อความเปล่า ให้ curl เห็นผลทันที (ของจริงจะ redirect_to @post) · @post.attributes = Hash ของทุกช่องบนแฟ้ม · .slice("title", …) = หยิบเฉพาะช่องที่ระบุมาโชว์

เปิด server (bin/rails server) ทิ้งไว้หนึ่งหน้าต่าง แล้วเปิดอีกหน้าต่างมาขอบัตรคิว · บรรทัดนี้ยาว ก็อปไปวางได้เลย หน้าตาเดียวกับบท 103 แค่เก็บรหัสไว้ใช้หลายรอบ:

$ TOKEN=$(curl -s -c jar.txt http://localhost:3000/posts | grep -o 'name="csrf-token" content="[^"]*"' | sed 's/.*content="//;s/"$//')

• เปิดหน้า /posts เหมือนลูกค้าจริง · เก็บ cookie ลงไฟล์ jar.txt (-c) · ตัดเอารหัสใส่ตัวแปร TOKEN
• ทุกคำสั่ง POST ต่อจากนี้จะแนบ -b jar.txt (cookie) และ -H "X-CSRF-Token: $TOKEN" (รหัส) · -d "post[title]=…" = ส่งช่องหนึ่งช่องเหมือนกรอกฟอร์ม
• คำสั่งยาว ผมตัดบรรทัดด้วย \ (= "บรรทัดนี้ยังไม่จบ") พิมพ์รวดเดียวบรรทัดเดียวก็ได้ผลเหมือนกัน

mass assignment — ลูกค้าแอบเขียนเพิ่มในใบสั่ง

ฟอร์มเขียนบทความของเรามีแค่ 2 ช่อง: ชื่อเรื่องกับเนื้อหา · แต่ ฟอร์มเป็นแค่หน้าตาบนจอ · ของที่ถึงร้านจริงคือ request ซึ่งใครจะเติมช่องอะไรลงไปก็ได้ (ด้วย curl หรือเครื่องมือในเบราว์เซอร์) เช่น post[views]=999999 · post[published]=true

mass assignment คือการเอาของทั้งกลุ่มยัดใส่แฟ้มรวดเดียว อย่าง Post.new(params[:post]) · สะดวกมาก · แต่ถ้าไม่จำกัดว่ารับช่องไหน ช่องที่คนร้ายเติมมาก็เข้าตู้ไปด้วย

ขั้นที่ 1 · Rails 8 ไม่ยอมให้ทำแบบนี้ตั้งแต่แรก

ยิงใบสั่งธรรมดา ๆ (ไม่มีช่องแปลก) เข้าโค้ดข้างบน · -o /dev/null -w '%{http_code}\n' = ไม่ต้องโชว์เนื้อหา พิมพ์แค่เลขสถานะ (บท 103):

$ curl -s -o /dev/null -w '%{http_code}\n' -b jar.txt -H "X-CSRF-Token: $TOKEN" \
    -X POST http://localhost:3000/posts -d "post[title]=ลาบหมู" -d "post[body]=แซ่บ"
500

log ของ server (ตัดรายชื่อไฟล์ของ Rails ใต้บรรทัดสุดท้ายออก):

Started POST "/posts" for ::1 at 2026-11-04 19:09:56 +0700
Processing by PostsController#create as */*
  Parameters: {"post" => {"title" => "ลาบหมู", "body" => "แซ่บ"}}
Completed 500 Internal Server Error in 2ms (ActiveRecord: 0.0ms (0 queries, 0 cached) | GC: 0.0ms)
ActiveModel::ForbiddenAttributesError (ActiveModel::ForbiddenAttributesError):
app/controllers/posts_controller.rb:8:in 'PostsController#create'

• 500 — ครัวพัง · ไม่มีอะไรลงตู้ (ไม่มีบรรทัด SQL เลย: 0 queries)
• ForbiddenAttributesError แปลว่า "ของต้องห้ามถูกยัดใส่แฟ้ม" · Rails ไม่ยอมให้เอา params ทั้งก้อนใส่แฟ้มจนกว่าเราจะบอกว่ารับช่องไหน
• posts_controller.rb:8 — บรรทัดที่ 8 นับรวมบรรทัดคอมเมนต์ชื่อไฟล์ด้วย = บรรทัด Post.new(params[:post])

ข่าวดีคือ Rails ปิดประตูนี้ให้แล้ว · ข่าวร้ายคือมีท่าเปิดประตูกลับ ที่โผล่ในคำตอบของ AI และในเน็ตบ่อย ๆ เวลามีคนเจอ error ข้างบนแล้วอยากให้มัน "หายไปเร็ว ๆ"

ขั้นที่ 2 · เปิดประตูด้วย permit! แล้วลองเจาะ

แก้บรรทัดที่ 8 เป็น:

    @post = Post.new(params[:post].permit!)

ใบสั่งธรรมดาผ่านแล้ว · แฟ้มใหม่ได้ views 0 · published false (ค่าตั้งต้นที่ migration ของตาราง posts ตั้งไว้) · ผู้เขียนเป็นสมชาย (user_id 1):

$ curl -s -b jar.txt -H "X-CSRF-Token: $TOKEN" \
    -X POST http://localhost:3000/posts -d "post[title]=ลาบหมู" -d "post[body]=แซ่บ"
บันทึกแล้ว: {"title" => "ลาบหมู", "views" => 0, "published" => false, "user_id" => 1}

$ curl -s -b jar.txt -H "X-CSRF-Token: $TOKEN" -X POST http://localhost:3000/posts \
    -d "post[title]=ร้านผม" -d "post[body]=อร่อยที่สุดในโลก" \
    -d "post[views]=999999" -d "post[published]=true" -d "post[user_id]=3"

บันทึกแล้ว: {"title" => "ร้านผม", "views" => 999999, "published" => true, "user_id" => 1}

  Parameters: {"post" => {"title" => "ร้านผม", "body" => "อร่อยที่สุดในโลก", "views" => "999999", "published" => "true", "user_id" => "3"}}
  Post Create (2.2ms)  INSERT INTO "posts" ("title", "body", "created_at", "updated_at", "published", "views", "user_id") VALUES ('ร้านผม', 'อร่อยที่สุดในโลก', '2026-11-04 12:09:58.082068', '2026-11-04 12:09:58.082068', TRUE, 999999, 1) RETURNING "id" /*action='create',application='WongnokBlog',controller='posts'*/

อยากเห็นตอนที่โชคไม่ช่วย · ผมเขียน action update ชั่วคราวที่ใช้ท่าเดียวกัน (@post.update!(params[:post].permit!)) · ใน update ไม่มีบรรทัดไหนเขียนทับผู้เขียน · ส่งแก้คำผิดในชื่อบทความ 2 (ของสมชาย) พร้อมแอบเติม user_id:

$ curl -s -b jar.txt -H "X-CSRF-Token: $TOKEN" -X PATCH http://localhost:3000/posts/2 \
    -d "post[title]=ส้มตำปูปลาร้า (แก้คำผิด)" -d "post[user_id]=3"
แก้แล้ว: {"title" => "ส้มตำปูปลาร้า (แก้คำผิด)", "user_id" => 3}

  Post Update (1.3ms)  UPDATE "posts" SET "title" = 'ส้มตำปูปลาร้า (แก้คำผิด)', "updated_at" = '2026-11-04 12:10:01.703604', "user_id" = 3 WHERE "posts"."id" = 2 /*action='update',application='WongnokBlog',controller='posts'*/

UPDATE "posts" SET … WHERE "posts"."id" = 2 = "แก้แฟ้มเลข 2 ในลิ้นชัก posts ให้ช่องเหล่านี้เป็นค่าใหม่" · "user_id" = 3 อยู่ในนั้น → บทความของสมชายกลายเป็นของมานะ แค่เติมช่องเดียวในใบสั่ง (ตอนทดลองผมเปลี่ยน only: ใน routes เป็น [:index, :update] ชั่วคราว · ไม่ต้องทำตาม)

สไลด์หน้า 48 อ้างว่าช่องโหว่แบบนี้เคยถูกใช้กับ GitHub ในปี 2012 · ส่วนที่ผมยืนยันได้กับยืนยันไม่ได้ อยู่ในตารางท้ายบท · ไม่ต้องจำเรื่องนี้ จำแค่ว่าช่องโหว่นี้ทำได้จริงด้วย curl คำสั่งเดียว อย่างที่คุณเพิ่งเห็น

เทียบกับ Go: ช่องโหว่เดียวกันเกิดได้ถ้าเอา JSON ของผู้ใช้ใส่ตรงเข้า struct ที่ลง DB · struct Post แบบ GORM ที่มีช่อง Views · UserID พร้อม tag json:

var post Post                           // ❌ struct ที่ลง DB
json.Unmarshal(body, &post)              // body มี views · published · user_id แอบมา
// ผลรันจริง: {ID:0 Title:ร้านผม Body:x Views:999999 Published:true UserID:3}

(ตัดมาสามบรรทัด · ผมรันในไฟล์ main.go เต็มที่มี package main กับ import "encoding/json" · ShouldBindJSON ของ Gin ในบท 39 โดยปกติก็ใช้ encoding/json ตัวนี้ข้างใน)

strong parameters — รับเฉพาะช่องที่อยู่บนแบบฟอร์ม

ทางแก้คือเขียนรายชื่อช่องที่ยอมรับ ไว้ใน method แยกใต้ private แล้วให้ create เรียกใช้ · ช่องที่ไม่อยู่ในรายชื่อจะถูกทิ้งก่อนถึงแฟ้ม · เปลี่ยนไฟล์ controller เป็น:

# app/controllers/posts_controller.rb
class PostsController < ApplicationController
  def index
    @posts = Post.order(:id)
  end

  def create
    @post = Post.new(post_params)
    @post.user = User.first   # ชั่วคราว: ยังไม่มีระบบ login
    @post.save!
    render plain: "บันทึกแล้ว: #{@post.attributes.slice("title", "views", "published", "user_id")}\n"
  end

  private

  def post_params
    params.require(:post).permit(:title, :body)
  end
end

• Post.new(post_params) — เปลี่ยนจาก params[:post] เป็นการเรียก method post_params ที่กรองแล้ว
• params.require(:post) — "ใบสั่งนี้ต้องมีกลุ่มชื่อ post" · ไม่มีให้หยุดเลย
• .permit(:title, :body) — "จากกลุ่มนั้น รับแค่ title กับ body" · ที่เหลือทิ้ง
• อยู่ใต้ private เพราะไม่ใช่เมนู ลูกค้าเรียกตรง ๆ ไม่ได้ · ตั้งชื่อ ชื่อmodel_params เป็นธรรมเนียมที่ทุกร้าน Rails ใช้ และใช้ซ้ำได้ทั้งใน create กับ update

ยิงคำสั่งเจาะชุดเดิม:

$ curl -s -b jar.txt -H "X-CSRF-Token: $TOKEN" -X POST http://localhost:3000/posts \
    -d "post[title]=ร้านผม" -d "post[body]=อร่อยที่สุดในโลก" \
    -d "post[views]=999999" -d "post[published]=true" -d "post[user_id]=3"
บันทึกแล้ว: {"title" => "ร้านผม", "views" => 0, "published" => false, "user_id" => 1}

บันทึกได้ (คนร้ายไม่รู้ตัวด้วยซ้ำว่าโดนตัด) แต่ views กลับเป็น 0 · published เป็น false · ใน log มีบรรทัดใหม่ (ตัดท้ายบรรทัดที่ยาวมากออก):

  Parameters: {"post" => {"title" => "ร้านผม", "body" => "อร่อยที่สุดในโลก", "views" => "999999", "published" => "true", "user_id" => "3"}}
Unpermitted parameters: :views, :published, :user_id. Context: { controller: PostsController, action: create, … }
  Post Create (2.5ms)  INSERT INTO "posts" ("title", "body", "created_at", "updated_at", "published", "views", "user_id") VALUES ('ร้านผม', 'อร่อยที่สุดในโลก', '2026-11-04 12:09:59.183341', '2026-11-04 12:09:59.183341', FALSE, 0, 1) RETURNING "id" /*action='create',application='WongnokBlog',controller='posts'*/

• Parameters: — ของที่คนร้ายส่งมายังอยู่ครบ 5 ช่อง (log จดตามที่ได้รับ)
• Unpermitted parameters: :views, :published, :user_id — "สามช่องนี้ไม่อยู่ในรายชื่อ ทิ้งแล้ว" · บรรทัดนี้โผล่เฉพาะตอนพัฒนาในเครื่องกับตอนรันเทส (ค่าตั้งต้นของ Rails) เป็นตัวช่วยจับว่าฟอร์มส่งอะไรเกินมา
• INSERT … VALUES (…, FALSE, 0, 1) — ค่าที่ลงตู้จริงคือค่าตั้งต้น ไม่ใช่ของคนร้าย

หลักการข้างหลังคือ allowlist ชนะ blocklist — เขียนว่า "ช่องไหนผ่านได้" ไม่ใช่ "ช่องไหนห้ามผ่าน" · ถ้าเขียนแบบห้าม วันที่ migration เพิ่มช่อง is_featured (บทความแนะนำ) เข้ามา แล้วลืมเพิ่มในรายการห้าม ช่องนั้นก็เปิดให้คนร้ายทันที · แบบ allowlist ช่องใหม่ถูกปิดไว้ก่อนเสมอจนกว่าจะตั้งใจเปิด

เทียบกับ Go: ท่าที่ถูกคือแยก struct สำหรับรับ input (เรียกกันว่า DTO) ออกจาก struct ที่ลง DB · struct รับ input มีแค่ช่องที่อยู่บนฟอร์ม:

var post Post
json.Unmarshal(body, &post)
// Views:999999 Published:true UserID:3

type CreatePostInput struct {
    Title string `json:"title"`
    Body  string `json:"body"`
}
var in CreatePostInput
json.Unmarshal(body, &in)
post := Post{Title: in.Title, Body: in.Body, UserID: 1}
// Views:0 Published:false UserID:1

(ผลในคอมเมนต์มาจากการรันจริง ด้วย JSON ที่แอบเติม views · published · user_id แบบเดียวกับคนร้าย · encoding/json ทิ้งช่องที่ struct ไม่มีเงียบ ๆ เหมือน permit) · struct CreatePostInput ของ Go = รายชื่อใน permit(:title, :body) ของ Rails · ต่างกันแค่ Go ประกาศเป็นชนิดข้อมูล Rails ประกาศเป็นรายชื่อ symbol

params.expect — ท่าของ Rails 8 ที่ตรวจรูปร่างด้วย

require/permit กันช่องเกินได้แล้ว แต่ยังมีรูรั่วอีกแบบ · require(:post) เช็คแค่ว่า "มีของชื่อ post ไหม" · ไม่ได้เช็คว่าของนั้นเป็นกลุ่มช่อง (Hash) จริงหรือเปล่า · ถ้าคนป่วนส่ง post มาเป็นคำเดียวหรือเป็นรายการ จะเกิดอะไรขึ้น:

$ curl -s -o /dev/null -w '%{http_code}\n' -b jar.txt -H "X-CSRF-Token: $TOKEN" \
    -X POST http://localhost:3000/posts -d "post=hello"
500

  Parameters: {"post" => "hello"}
Completed 500 Internal Server Error in 1ms (ActiveRecord: 0.0ms (0 queries, 0 cached) | GC: 0.0ms)
NoMethodError (undefined method 'permit' for an instance of String):
app/controllers/posts_controller.rb:17:in 'PostsController#post_params'
app/controllers/posts_controller.rb:8:in 'PostsController#create'

• {"post" => "hello"} — post เป็นข้อความเฉย ๆ ไม่ใช่กลุ่ม {title, body}
• require(:post) เห็นว่ามี post ก็ปล่อยผ่าน · ต่อด้วย .permit กับข้อความ → undefined method 'permit' for an instance of String (ข้อความไม่มี method ชื่อ permit)
• บรรทัด 17 คือ params.require(:post).permit(:title, :body) · บรรทัด 8 คือที่ create เรียก post_params

ข้อมูลไม่ได้เสีย แต่ได้ 500 · ทั้งที่เป็นความผิดของคนส่ง ไม่ใช่บั๊กของเรา · Rails 8 มี method ใหม่ params.expect ที่เช็คทั้งรายชื่อช่องและรูปร่างในคำสั่งเดียว · แก้ post_params เป็น:

  def post_params
    params.expect(post: [:title, :body])
  end

• อ่านว่า "คาดหวังว่าจะมี post ที่เป็นกลุ่มช่อง และรับแค่ title กับ body"
• post: [ … ] — hash ที่ key คือชื่อกลุ่ม ค่าคือรายชื่อช่อง (เหมือนเอา require กับ permit มาเขียนรวมกัน)

ผมยิงสามแบบเดียวกันเข้าทั้งสองท่า (ทุกครั้งเปลี่ยนแค่ -d) ได้ status แบบนี้:

บรรทัดใน log ของ expect ตอนส่ง post=hello:

  Parameters: {"post" => "hello"}
Completed 400 Bad Request in 1ms (ActiveRecord: 0.0ms (0 queries, 0 cached) | GC: 0.0ms)
ActionController::ParameterMissing (param is missing or the value is empty or invalid: post):

param is missing or the value is empty or invalid: post = "ช่อง post ไม่มี · ว่าง · หรือรูปร่างไม่ถูก" · Rails ตอบ 400 ให้เอง ไปไม่ถึงบรรทัด save!

400 กับ 500 ต่างกันยังไง ทำไมต้องสน: 400 Bad Request = "ใบสั่งของคุณผิดแบบ" (ความผิดฝั่งคนส่ง) · 500 Internal Server Error = "ครัวเราพังเอง" (ความผิดฝั่งเรา) · หลายทีมตั้งระบบเตือนให้ปลุกคนเวรเมื่อเห็น 500 เยอะ ๆ · ถ้าคนป่วนยิง post=hello มาพันครั้งแล้วได้ 500 พันครั้ง ทีมต้องตื่นมาไล่ log หาบั๊กที่ไม่มีอยู่จริง

เรื่อง AI: สไลด์หน้า 49 เตือนว่า AI มักเขียน require/permit ให้ เพราะเรียนจากโค้ดยุค Rails 6–7 · ไม่ผิด กันช่องเกินได้เหมือนกัน แต่ได้ 500 ตอนเจอรูปร่างแปลก · ขอให้ AI ใช้ params.expect ตรง ๆ ได้เลย · ส่วน bin/rails generate scaffold ของ Rails 8.1.4 เขียน params.expect ให้แล้ว (ผมเปิดไฟล์แม่แบบของมันดู — บท 118 จะอ่านโค้ดที่มันสร้าง)

ภารกิจ — ช่องเขียนคอมเมนต์ใต้บทความ ที่กันคนสวมรอยได้

# config/routes.rb
Rails.application.routes.draw do
  resources :posts, only: [:index, :create] do
    resources :comments, only: [:create]
  end
end

$ bin/rails routes -c comments
       Prefix Verb URI Pattern                        Controller#Action
post_comments POST /posts/:post_id/comments(.:format) comments#create

# app/controllers/comments_controller.rb
class CommentsController < ApplicationController
  def create
    post = Post.find(params[:post_id])
    comment = post.comments.new(comment_params)
    comment.user = User.last   # ชั่วคราว: สมมุติว่าคนที่ login คือมานะ
    comment.save!
    render plain: "คอมเมนต์ใหม่บน #{post.title} โดย #{comment.user.name}: #{comment.body}\n"
  end

  private

  def comment_params
    params.expect(comment: [:body])
  end
end

$ curl -s -b jar.txt -H "X-CSRF-Token: $TOKEN" -X POST http://localhost:3000/posts/5/comments \
    -d "comment[body]=ขอสูตรด้วย" -d "comment[user_id]=1"
คอมเมนต์ใหม่บน ผัดกะเพราหมูสับ โดย มานะ: ขอสูตรด้วย

  Parameters: {"comment" => {"body" => "ขอสูตรด้วย", "user_id" => "1"}, "post_id" => "5"}
  Post Load (1.1ms)  SELECT "posts".* FROM "posts" WHERE "posts"."id" = 5 LIMIT 1 /*action='create',application='WongnokBlog',controller='comments'*/
  User Load (1.2ms)  SELECT "users".* FROM "users" ORDER BY "users"."id" DESC LIMIT 1 /*action='create',application='WongnokBlog',controller='comments'*/
  Comment Create (3.1ms)  INSERT INTO "comments" ("body", "post_id", "user_id", "created_at", "updated_at") VALUES ('ขอสูตรด้วย', 5, 3, '2026-11-04 12:10:02.806225', '2026-11-04 12:10:02.806225') RETURNING "id" /*action='create',application='WongnokBlog',controller='comments'*/

ทดสอบความเข้าใจ

ข้อ 1 มาจาก Quiz 6 ของสไลด์หน้า 50 · ทุกเฉลยรันพิสูจน์แล้ว

GET /posts/5 => {controller: "posts", action: "show", id: "5"}
GET /posts/5/edit => {controller: "posts", action: "edit", id: "5"}
POST /posts/5/comments => {controller: "comments", action: "create", post_id: "5"}
DELETE /posts/5/comments/9 => {controller: "comments", action: "destroy", post_id: "5", id: "9"}
GET /posts/new => {controller: "posts", action: "new"}

ถามกลับได้เลย

ถ้าคุณเจอ route ที่ไม่รู้ว่าควรเป็น member · collection · หรือ resource ใหม่ (เช่น "กดไลก์บทความ" ควรเป็น POST /posts/:id/like หรือ resources :likes) — นี่คือคำถามที่ดีมากที่จะเอาไปถาม senior หรือ AI · ส่งไปพร้อมผล bin/rails routes -c ชื่อแผนก คนที่ช่วยจะเห็นภาพทันที

ถ้าเปิดสไลด์ดูประกอบ

อ้างอิง

• Rails Guides — Rails Routing from the Outside In · 2.7 Nested Resources — อ่าน 2.7 ต่อด้วย 2.7.1 Limits to Nesting (ประโยค "only nest resources 1 level deep") และ 2.7.2 Shallow Nesting
• Rails Guides — 2.10.1 Adding Member Routes — อ่าน 2.10.1 กับ 2.10.2 Adding Collection Routes (publish · drafts ของบทนี้) · แล้วย้อนไป 2.5 Singular Resources ที่บอกว่า resource :geocoder ไป GeocodersController (พหูพจน์ — predict ของบทนี้)
• Rails Guides — 4.8 Restricting the Routes Created — อ่านทั้งหัวข้อ เรื่อง only: / except: · และ 2.9 Creating Paths and URLs from Objects ที่อธิบายว่าส่ง object ตรง ๆ แล้ว Rails เดา helper ให้ (กลไกเดียวกับ redirect_to @post)
• Rails Guides — Action Controller Overview · 4 Strong Parameters — อ่านตัวอย่างโค้ดแรกของหัวข้อ 4 (บรรทัด Person.create(params[:person]) ที่โยน ForbiddenAttributesError) แล้วต่อด้วย 4.1.1 expect และ 4.1.3 permit! (คำเตือนให้ใช้อย่างระวัง)
• Rails API — ActionController::Parameters#expect — อ่านย่อหน้าแรก ที่บอกว่า expect ปลอดภัยกว่า require + permit ซึ่ง "could allow user triggered 500 errors" · แล้วดูตัวอย่าง user: "hack" (กรณีเดียวกับ post=hello ของบทนี้) · ถ้าวันหนึ่งฟอร์มมีช่องเป็นรายการหรือมีฟอร์มย่อยข้างใน หน้านี้มีตัวอย่างวิธีเขียน expect ให้รองรับ
• rails/rails issue #5228 — Mass assignment vulnerability — issue ที่ Egor Homakov เปิดเมื่อ 1 มี.ค. 2012 · อ่านแค่ข้อความแรก พอเห็นบรรยากาศสมัยที่ Rails ยังไม่บังคับ strong parameters
• Go — encoding/json · Unmarshal — อ่านย่อหน้าที่พูดถึงการจับคู่ key ของ JSON กับช่องของ struct (ช่องที่ struct ไม่มีถูกข้ามไป) — เหตุผลที่ DTO ใน Go กันช่องเกินได้