找出这段生成的 Rails 控制器中的对象授权缺陷。
ruby
class OrdersController < ActionController::API
def update
order = Order.find(params[:id])
order.update!(params.require(:order).permit(:status))
render json: { id: order.id, status: order.status }
end
end