Strong Parameters trong Rails là gì và tại sao cần thiết?

Strong Parameters (Rails 4+) bắt controller khai báo tường minh những tham số nào được phép gán vào model — ngăn mass assignment vulnerability (attacker gửi param ẩn như admin=true để leo quyền).

# KHÔNG an toàn (Rails 2 style):
User.create(params[:user])  # có thể truyền bất kỳ field nào

# AN TOÀN với Strong Parameters:
def user_params
  params.require(:user).permit(:name, :email, :password)
end

User.create(user_params)

Nếu params chứa field không được permit, nó bị bỏ qua.

Nếu field được require thiếu, Rails raise ActionController::ParameterMissing.