Pareil. Par sécurité, il vaut mieux setter cet attribut directement dans le contrôleur.
Du coup, dans l'action create, tu feras un build au lieu d'un create. Et ensuite tu setteras le user = current_user. Et enfin tu save.