PHP: Eloquent (ORM)
2026-02-26 19:50 Diff
https://ru.hexlet.io/courses/php-orm-eloquent/lessons/mass-assigment/theory_unit

В предыдущем уроке мы устанавливали свойства модели через сеттеры:

Но это не единственный способ установки свойств. Как правило, в веб-разработке модели создаются после заполнения формы пользователем сайта. Данные этой формы приходят на сервер в виде ассоциативного массива. Eloquent, как и большинство ORM, позволяет сразу передать этот массив в конструктор, вместо индивидуальной установки каждого свойства. Такой подход называется "массовым присвоением" (mass-assignment):

Но если выполнить такой подход в лоб, то он завершится с ошибкой: Add [email] to fillable property to allow mass assignment on [App/Models/User]. Чтобы понять, почему так происходит, надо немного поговорить о безопасности.

Формы никогда не содержат всех полей. В каждой модели обязательно есть, по крайней мере, одно поле (id), которое нельзя давать менять. Обычно их больше, например, различные поля, определяющие состояние, количество денег, какие-то внутренние характеристики, которые можно менять только изнутри системы.

Но достаточно ли просто не указывать их в форме? Будет ли это безопасно? Не будет. Веб — это HTTP, а значит любой человек, всегда может послать форму в нужный обработчик, добавив туда всё что угодно. Это автоматически означает, что передача данных пачкой в конструктор может привести к очень нежелательным эффектам. Например, к изменению уровня доступа в систему:

Во избежание подобных ситуаций, Eloquent контролирует то, что принимается на вход при массовом присвоении. Делается это с помощью свойства $fillable внутри модели:

Теперь указанные поля могут использоваться в конструкторе:

Массовое присвоение немного отличается если мы говорим про обновление сущности. Конструктор использовать не получится, сущность уже создана. Для массового обновления полей создан метод fill:

Откровенно говоря, контроль входных данных это не уровень моделей. Об этом должен заботиться тот слой, который использует модели. Но жизнь сложная штука. Подобные решения принимаются разработчиками фреймворков для упрощения работы. Иначе повышается порог входа. С другой стороны, подобные вещи выходят боком для опытных разработчиков. Что если нам нужно иметь разные наборы полей для разных форм? Eloquent ничего не сможет сделать, потому что набор полей зашивается жёстко внутри модели