[解決済み] ネストされた属性の未許可パラメータ

質問

私は Bill オブジェクトがあり、これには多くの Due オブジェクトがあります。その Due オブジェクトもまた Person . を作成できるフォームが欲しい。 Bill とその子である Dues をすべて1つのページで使用することができます。のような、入れ子になった属性を使ってフォームを作成しようとしています。 このレールキャスト .

関連するコードを以下に示します。

due.rb

class Due < ActiveRecord::Base
    belongs_to :person
    belongs_to :bill
end

bill.rb

class Bill < ActiveRecord::Base
    has_many :dues, :dependent => :destroy 
    accepts_nested_attributes_for :dues, :allow_destroy => true
end

bills_controller.rb

  # GET /bills/new
  def new
      @bill = Bill.new
      3.times { @bill.dues.build }
  end

bills/_form.html.erb

  <%= form_for(@bill) do |f| %>
    <div class="field">
        <%= f.label :company %><br />
        <%= f.text_field :company %>
    </div>
    <div class="field">
        <%= f.label :month %><br />
        <%= f.text_field :month %>
    </div>
    <div class="field">
        <%= f.label :year %><br />
        <%= f.number_field :year %>
    </div>
    <div class="actions">
        <%= f.submit %>
    </div>
    <%= f.fields_for :dues do |builder| %>
        <%= render 'due_fields', :f => builder %>
    <% end %>
  <% end %>

bills/_due_fields.html.erb

<div>
    <%= f.label :amount, "Amount" %>        
    <%= f.text_field :amount %>
    <br>
    <%= f.label :person_id, "Renter" %>
    <%= f.text_field :person_id %>
</div>

bills_controller.rbにUPDATE。 これは動作します!

def bill_params 
  params
  .require(:bill)
  .permit(:company, :month, :year, dues_attributes: [:amount, :person_id]) 
end

適切なフィールドがページ上にレンダリングされます。 Person のドロップダウンはまだありません)、そして投稿は成功します。しかし、子会費はどれもデータベースに保存されず、サーバーログにエラーがスローされます。

Unpermitted parameters: dues_attributes

エラーの直前、ログにはこのように表示されます。

Started POST "/bills" for 127.0.0.1 at 2013-04-10 00:16:37 -0700
Processing by BillsController#create as HTML<br>
Parameters: {"utf8"=>"✓", 
"authenticity_token"=>"ipxBOLOjx68fwvfmsMG3FecV/q/hPqUHsluBCPN2BeU=",
 "bill"=>{"company"=>"Comcast", "month"=>"April ", 
"year"=>"2013", "dues_attributes"=>{
"0"=>{"amount"=>"30", "person_id"=>"1"}, 
"1"=>{"amount"=>"30", "person_id"=>"2"},
 "2"=>{"amount"=>"30", "person_id"=>"3"}}}, "commit"=>"Create Bill"}

Rails 4で何か変更があったのでしょうか？

どのように解決するのですか?

属性保護の扱いに変更があったようで、以前はオプションだったgem strong_parametersがRails Coreの一部になったため、（モデルでattr_accessibleの代わりに）コントローラでパラメータをホワイトリスト化する必要があるようです。

これは次のような感じです。

class PeopleController < ActionController::Base
  def create
    Person.create(person_params)
  end

private
  def person_params
    params.require(:person).permit(:name, :age)
  end
end

そこで params.require(:model).permit(:fields) が使われることになります。

で、ネストされた属性には

params.require(:person).permit(:name, :age, pets_attributes: [:id, :name, :category])

さらに詳しい情報は Ruby エッジ API ドキュメント と strong_parametersはgithubにあります。 または ここで