新手问题 mass assignment 的原理是什么。在缺少 activerecord 的情况下要如何应对？
不是很明白这东西。大概是了解的情况是就是要是我知道字段名的话，就可以通过浏览器进行以下操作。
http://www.xxx.com/posts/create/?tiile=foo&body=xxxsadasdasdasdasd
我在本机测试一个 sinatra 应用，通过这个方式还真可以把一个普通用户变成管理员，实在太可怕了。
attr_accessible
ActiveRecord 里有个 whitelist 的设置，然后在每个 model 中 attr_accessible 你的 form 字段，这样只能提交你允许的了
mass assignment 不是 active record 的 而是 active model 的 如果你的模型使用 am 的话 一样可以使用
