caulfield/AdService — comment on commit 2859dc55758f8df50f362a51d25538041ddc5404
File: app/controllers/ads_controller.rb line 14
By gotva:

а вот эту строчку зря убрал.
Все подобные зависимости надо контролировать вручную. Ведь если с формы придет параметр :ad => {..., user_id => 123} то ты сохранишь обьяву с таким user_id (есть такой юзер или нет это все равно). получается дыра в приложении: пользователь потенциально может создать обьяву от имени другого пользователя
Здесь надо копать вот сюда http://apidock.com/rails/ActiveModel/MassAssignmentSecurity/ClassMethods/attr_accessible