В документации Rails это не очень ясно, но кажется, что все применения update_attributes представляют собой массовое присваивание, и все атрибуты должны быть в белом списке, если используется attr_accessible.Документы для update_attributes не упоминают об этом:
update_attributes(attributes)
Обновляет этот ресурс всеми атрибутами из переданного хэша и запрашивает сохранение записи.
Если сохранение не удалось из-за ошибки подключения или удаленного обслуживания, возникнет исключение.Если сохранение завершится неудачно из-за того, что ресурс недействителен, будет возвращено значение false.
Примечание. Хотя этот запрос может быть выполнен с частичным набором атрибутов ресурса, полное тело запроса все равно будет отправлено при сохранении.запрос к удаленной службе.
Существуют ли какие-либо другие методы, о которых я должен знать, которые вызывают это ограничение массового назначения?