使用 devise gem 对应用程序的所有用户进行身份验证。我正在尝试实现 Active Storage。
假设所有用户必须在到达应用程序后立即进行身份验证：
class ApplicationController < ActionController::Base
before_action :authenticate_user!
...
end
如何保护 Active Storage 生成的路由？
无需先验证即可访问上传文件的 URL。未经身份验证的用户可以获取 Active Storage 生成的文件 url。
这不是一个完整的答案，而是一个起点：
要点：您需要覆盖重定向控制器。
activestorage/app/controllers/active_storage/blobs_controller.rb的文档说：
如果您需要在已签名 blob 引用的隐匿性安全因素之外实施访问保护，则需要实现自己的经过身份验证的重定向控制器。
此外，如果您打算使用预览文档为 activestorage/app/models/active_storage/blob/representable.rb说
Active Storage 提供了一个 [用于预览的控制器操作]，但您可能想要创建自己的（例如，如果您需要身份验证）。
此外，您可能会在此 rails github issue中找到一些相关信息
更新：
这是一个“应该”在使用devisegem 时防止未经授权访问重定向的最小示例。
我猜如何保护用户将被重定向到的 url 仍然是另一个故事。默认情况下，它们会在 5 分钟后过期，但这可以设置为更短的时间，例如 10 秒（如果您将下面示例中的第 6 行替换为expires_in 10.seconds）
app/controllers/active_storage/blobs_controller.rb使用以下代码创建一个文件：
class ActiveStorage::BlobsController < ActiveStorage::BaseController
before_action :authenticate_user!
include ActiveStorage::SetBlob
def show
expires_in ActiveStorage::Blob.service.url_expires_in
redirect_to @blob.service_url(disposition: params[:disposition])
end
end
请注意，与原始代码唯一不同的是添加了第二行
before_action :authenticate_user!
更新 2：
这是您可以包含在ActiveStorage::RepresentationsController其中并ActiveStorage::BlobsController启用devise身份验证的问题ActiveStorage
见要点在https://gist.github.com/dommmel/4e41b204b97238e9aaf35939ae8e1666也包括在这里：
# Rails controller concern to enable Devise authentication for ActiveStorage.
# Put it in +app/controllers/concerns/blob_authenticatable.rb+ and include it when overriding
# +ActiveStorage::BlobsController+ and +ActiveStorage::RepresentationsController+.
#
# Optional configuration:
#
# Set the model that includes devise's database_authenticatable.
# Defaults to Devise.default_scope which defaults to the first
# devise role declared in your routes (usually :user)
#
# blob_authenticatable resource: :admin
#
# To specify how to determine if the current_user is allowed to access the
# blob, override the can_access_blob? method
#
# Minimal example:
#
# class ActiveStorage::BlobsController < ActiveStorage::BaseController
# include ActiveStorage::SetBlob
# include AdminOrUserAuthenticatable
#
# def show
# expires_in ActiveStorage::Blob.service.url_expires_in
# redirect_to @blob.service_url(disposition: params[:disposition])
# end
# end
#
# Complete example:
#
# class ActiveStorage::RepresentationsController < ActiveStorage::BaseController
# include ActiveStorage::SetBlob
# include AdminOrUserAuthenticatable
#
# blob_authenticatable resource: :admin
#
# def show
# expires_in ActiveStorage::Blob.service.url_expires_in
# redirect_to @blob.representation(params[:variation_key]).processed.service_url(disposition: params[:disposition])
# end
#
# private
#
# def can_access_blob?(current_user)
# @blob.attachments.map(&:record).all? { |record| record.user == current_user }
# end
# end
module BlobAuthenticatable
extend ActiveSupport::Concern
included do
around_action :wrap_in_authentication
end
module ClassMethods
def auth_resource
@auth_resource || Devise.default_scope
end
private
def blob_authenticatable(resource:)
@auth_resource = resource
end
end
private
def wrap_in_authentication
is_signed_in_and_authorized = send("#{self.class.auth_resource}_signed_in?") \
& can_access_blob?(send("current_#{self.class.auth_resource}"))
if is_signed_in_and_authorized
yield
else
head :unauthorized
end
end
def can_access_blob?(_user)
true
end
end
如果要对活动存储提供的所有端点实施身份验证，可以在原始实现ActiveStorage::BaseController的基础上覆盖：
# app/controllers/active_storage/base_controller.rb
# frozen_string_literal: true
# The base class for all Active Storage controllers.
class ActiveStorage::BaseController < ActionController::Base
before_action :authenticate_user!
include ActiveStorage::SetCurrent
protect_from_forgery with: :exception
end