oleghaidul/depot — comment on commit d94a4d13f76c5d704f7606df1fe5a16dd8dad01b
File: app/views/orders/_form.html.haml line 7
By gotva:

Это потенциальное место для взлома.
что произойдет если я загружу эту форму. Оформлю большой заказ и с помощью FireBug изменю айдишник в этом hidden поле?
Думаю этот ордер потенциально может быть присоединен к другому пользователю.

Решение: на форме ни в коем случае не выводить user_id. User_id занести в attr_protected у order. И руками проставлять его руками
приблизительно вот так
def new
@order = Order.new(params[:order]) # или @order уже есть от cancan
@order.user = current_user
@order.save
...

и так везде где даные можно изменить (например при редактировании пользователя - роль пользователя должна быть исключена из списка mass_assignment) - это очень важно