Ist es möglich, Params über das Internet zu ändern?

Question

Ich kodiere eine Website, die keine legitime Möglichkeit zum Bearbeiten von Benutzern haben. Einmal erstellt, kann nichts geändert werden.

Und hier ist meine Frage: Ist es möglich, Benutzerdaten zu ändern (zum Beispiel durch Senden von Patch-Anfragen) ohne Bearbeitungsformular (weil ich nicht erstellt), von Drittanbietern (a.k.a. nicht Host)?

Da Rails 5 erfordert, verwende ich starke params (Senden von Benutzernamen und Passwort beim Erstellen von Benutzer durch Anmeldeformular).

@routes

 Prefix Verb URI Pattern    Controller#Action 
    root GET /      sessions#new 
    signup GET /signup(.:format)   users#new 
      POST /signup(.:format)   users#create 
    login GET /login(.:format)   sessions#new 
      POST /login(.:format)   sessions#create 
    logout DELETE /logout(.:format)   sessions#destroy 
    users GET /users(.:format)   users#index 
      POST /users(.:format)   users#create 
new_user GET /users/new(.:format)  users#new 
edit_user GET /users/:id/edit(.:format) users#edit 
    user GET /users/:id(.:format)  users#show 
      PATCH /users/:id(.:format)  users#update 
      PUT /users/:id(.:format)  users#update 
      DELETE /users/:id(.:format)  users#destroy 

Sollte auch erwähnen, dass es keine Update-Methode ist, aber ich bin mit

resources :users 

Answer 1

Für einen Zugriff Dritter auf Ihre db müssen Sie wahrscheinlich eine API.

Vereinfachtes Beispiel:

Sie App-URL ist https://myapp.example.com/.

config/routes.rb:

namespace :api do 
    namespace :v1 do 
    resources :users, only: [:update] 
    end 
end 

Rake Routen:

 Prefix Verb URI Pattern     Controller#Action 
api_v1_user PATCH /api/v1/users/:id(.:format) api/v1/users#update 
      PUT /api/v1/users/:id(.:format) api/v1/users#update 

app/controllers/api/v1/base_controller.rb:

class Api::V1::BaseController < ActionController::Base 
    # Prevent CSRF attacks by raising an exception. 
    protect_from_forgery with: :null_session 
end 

app/controllers/api/v1/users_controller.rb:

class Api::V1::UsersController < Api::V1::BaseController 
    def update 
    # check params, maybe look for some security tokens 

    user = User.find(params[:id]) 
    if user 
     user.update_attribute(:name, params[:name]) 
     render plain: "success" and return 
    else 
     render plain: "failure" and return 
    end 
    end 
end 

anfordern Dann wie diese

curl -X PATCH https://myapp.example.com/api/v1/users/1?name=new_name 

würde mit id users 'ändern = 1 name von "new_name".

Für eine ordnungsgemäße API-Design können Sie überprüfen http://jsonapi.org/.