O Guia Definitivo do Yii 1.1

Nesse trecho de código, temos uma atribuição em massa que atribui cada entrada em
$_POST['LoginForm'] ao atributo correspondente no modelo, no cenário login. Isso é
equivalente a:
foreach($_POST['LoginForm'] as $name=>$value)
{
if($name é um atributo seguro)
$model->$name=$value;
}
A tarefa de decidir se um dado é seguro ou não é baseada no valor de retorno do método
safeAttributes e o cenário especificado. Por padrão, esse método retorna todas as
variáveis membro públicas como atributos seguros para a classe CFormModel, ou todas
as colunas de uma tabela, menos a chave primária, como atributos para a classe
CActiveRecord. Nós podemos sobrescrever este método para limitar esses atributos
seguros de acordo com os cenários. Por exemplo, um modelo usuário deve conter vários
atributos, mas no cenário login, precisamos apenas do username e do password.
Podemos especificar esses limites da seguinte maneira:
public function safeAttributes()
{
return array(
parent::safeAttributes(),
'login' => 'username, password',
);
}
Mais precisamente, o valor de retorno do método safeAttributes deve ter a seguinte
estrutura:
array(
// esses atributos podem ser atribuídos em massa em qualquer cenário
// isso não ser explicitamente especificado, como vemos abaixo
'attr1, attr2, ...',
*
// esses atributos só podem ser atribuídos em massa no cenário 1
'cenario1' => 'attr2, attr3, ...',
*
// esses atributos só podem ser atribuídos em massa no cenário 2
'cenario2' => 'attr1, attr3, ...',
)