منع التسلسل العرضي لنماذج ActiveRecord

[Discourse]

تم تقديم تصحيح (patch) لمنع التسلسل (serialization) غير المقصود لنماذج ActiveRecord دون تحديد الحقول المراد تسلسلها. يضمن هذا التغيير التحكم في الحقول التي سيتم تضمينها، مما يتجنب المشكلات المحتملة الناتجة عن كشف بيانات غير مكتملة أو زائدة.

بشكل افتراضي، يؤدي عرض نموذج ActiveRecord بصيغة JSON إلى تضمين جميع السمات، وهو ما قد لا يكون مرغوبًا فيه في كثير من الحالات. لفرض ممارسات أفضل، يجب تحديد الحقول التي ينبغي تسلسلها.

أمثلة على الاستخدام

الاستخدام الخاطئ:

def show
  @user = User.first
  render json: @user
end

في بيئات التطوير والاختبارات، سيؤدي هذا إلى:

ActiveRecordSerializationSafety::BlockedSerializationError:
Serializing ActiveRecord models (User) without specifying fields is not allowed.
Use a Serializer, or pass the :only option to #serializable_hash. More info: https://meta.discourse.org/t/-/314495
./lib/freedom_patches/active_record_disable_serialization.rb:15:in `serializable_hash'

الاستخدام الصحيح:

1. استخدام مُسلسِل (Serializer)

class UserSerializer < ApplicationSerializer
  attributes :id, :email
end

def show
  @user = User.first
  render json: @user, serializer: UserSerializer
end

2. استخدام خيار :only

def show
  @user = User.first
  render json: @user.as_json(only: [:id, :email])
end

---

هذا المستند خاضع للتحكم في الإصدارات - اقترح تغييرات على github.

[angus (Angus McLeod)]

لتوضيح الأمر لمن قد يصادفه في الواقع، هذا يعني أن جميع استخدامات طرق التسلسل في ActiveModel::Serialization، على سبيل المثال as_json، بغض النظر عن السياق (بما في ذلك في المواصفات)، ستؤدي إلى خطأ ما لم تقم بتمرير الخيار only. انظر المزيد

as_json (ActiveModel::Serializers::JSON) - APIdock

للاطلاع على مثال انظر:

DEV: use of as_json without `only` no longer allowed

[pfaffman (Jay Pfaffman)]

حسنًا، استغرق الأمر 21 يومًا، لكنني أخيرًا فهمت ما قلته هنا في الكود المرتبط الخاص بك، في سياق واحد على الأقل، ونأمل أن يكون السياق الآخر المذكور في الموضوع المنفصل المذكور أعلاه. يبدو أن هذا الأخير أصعب (حسب ذاكرتي على أي حال) نظرًا لأنني لا أعرف بالضبط أين تكمن المشكلة.

شكرًا لإنقاذ اليوم (أو على الأقل هذا اليوم).

كانت المشكلة الأخرى هي أن نموذج server الخاص بي تضمن نموذج user وكنت بحاجة إلى استدعاء مُسلسل المستخدم (أو تحديد الحقول) لنموذج المستخدم في مُسلسل الخادم الخاص بي.

اتضح أنني لم أكن بحاجة إلى أي من نموذج المستخدم في نموذج الخادم الخاص بي (كان user_id موجودًا بالفعل، وهناك احتمال معقول بأنني لست بحاجة إليه حقًا).