منع التسلسل العرضي لنماذج ActiveRecord

[Discourse]

لقد قدمنا تصحيحًا لمنع التسلسل العرضي لنماذج ActiveRecord دون تحديد الحقول المراد تسلسلها. يضمن هذا التغيير أننا نتحكم في الحقول التي يتم تضمينها، مما يتجنب المشكلات المحتملة المتعلقة بكشف بيانات غير مكتملة أو مفرطة.

بشكل افتراضي، يتضمن عرض نموذج ActiveRecord بتنسيق JSON جميع السمات، وهو ما قد لا يكون مرغوبًا فيه في العديد من الحالات. لفرض ممارسات أفضل، نحتاج إلى تحديد الحقول التي يجب تسلسلها.

أمثلة على الاستخدام

الاستخدام غير الصحيح:

def show
  @user = User.first
  render json: @user
end

في بيئة التطوير والاختبارات، سيؤدي هذا إلى ما يلي:

ActiveRecordSerializationSafety::BlockedSerializationError:
Serializing ActiveRecord models (User) without specifying fields is not allowed.
Use a Serializer, or pass the :only option to #serializable_hash. More info: https://meta.discourse.org/t/-/314495
./lib/freedom_patches/active_record_disable_serialization.rb:15:in `serializable_hash'

الاستخدام الصحيح:

1. استخدام مُسلسِل (Serializer)

class UserSerializer < ApplicationSerializer
  attributes :id, :email
end

def show
  @user = User.first
  render json: @user, serializer: UserSerializer
end

2. استخدام الخيار :only

def show
  @user = User.first
  render json: @user.as_json(only: [:id, :email])
end

---

يتم التحكم في إصدار هذا المستند - اقترح تغييرات على github.

[angus (Angus McLeod)]

لتوضيح الأمر لمن قد يصادفه في الواقع، هذا يعني أن جميع استخدامات طرق التسلسل في ActiveModel::Serialization، على سبيل المثال as_json، بغض النظر عن السياق (بما في ذلك في المواصفات)، ستؤدي إلى خطأ ما لم تقم بتمرير الخيار only. انظر المزيد

as_json (ActiveModel::Serializers::JSON) - APIdock

للاطلاع على مثال انظر:

DEV: use of as_json without `only` no longer allowed

[pfaffman (Jay Pfaffman)]

حسنًا، استغرق الأمر 21 يومًا، لكنني أخيرًا فهمت ما قلته هنا في الكود المرتبط الخاص بك، في سياق واحد على الأقل، ونأمل أن يكون السياق الآخر المذكور في الموضوع المنفصل المذكور أعلاه. يبدو أن هذا الأخير أصعب (حسب ذاكرتي على أي حال) نظرًا لأنني لا أعرف بالضبط أين تكمن المشكلة.

شكرًا لإنقاذ اليوم (أو على الأقل هذا اليوم).

كانت المشكلة الأخرى هي أن نموذج server الخاص بي تضمن نموذج user وكنت بحاجة إلى استدعاء مُسلسل المستخدم (أو تحديد الحقول) لنموذج المستخدم في مُسلسل الخادم الخاص بي.

اتضح أنني لم أكن بحاجة إلى أي من نموذج المستخدم في نموذج الخادم الخاص بي (كان user_id موجودًا بالفعل، وهناك احتمال معقول بأنني لست بحاجة إليه حقًا).