如何让明文加密结果匹配数据库中已存的Active Record加密值？

你遇到的问题核心是直接调用全局加密器没有使用模型字段的特定加密配置，Active Record Encryption在模型字段上启用deterministic: true时，会结合字段名、全局密钥等上下文生成固定密文，而全局encryptor调用缺少这些字段级的配置。

正确的加密方式 #

要生成和数据库中完全一致的密文，必须通过模型字段的加密上下文来处理，有两种可靠方式：

方式1：使用模型自动生成的加密方法

当你在模型中使用encrypts :email, deterministic: true时，Active Record会自动生成encrypt_<attribute>类方法，直接调用即可：

# 生成与数据库中email字段完全一致的加密值
encrypted_email = Propose.encrypt_email('vishwani1@gmail.com')

方式2：通过字段的类型序列化方法

每个加密字段的attribute_type包含了完整的加密配置，调用其serialize方法也能得到正确的密文：

email_attribute = Propose.attribute_types['email']
encrypted_email = email_attribute.serialize('vishwani1@gmail.com')

修正你的搜索Scope #

原来的Scope直接用明文匹配加密字段是无效的，需要先将用户输入的明文加密，再用加密后的密文进行查询：

class Propose < ApplicationRecord
  encrypts :email, :phone_number, :name, :first_name, :last_name, deterministic: true

  scope :search_filter, -> (params) do
    return all unless params[:keyword].present?

    # 对每个需要搜索的字段，生成加密后的关键词
    encrypted_keywords = [:email, :first_name, :last_name, :phone_number].map do |attr|
      "%#{send("encrypt_#{attr}", params[:keyword])}%"
    end

    where(search_filter_query, *encrypted_keywords).distinct
  end

  def self.search_filter_query
    <<-SQL
      proposes.email LIKE ? OR
      proposes.first_name LIKE ? OR
      proposes.last_name LIKE ? OR
      proposes.phone_number LIKE ?
    SQL
  end
end

关键说明 #

• 确定性加密的一致性依赖字段上下文：Active Record会将字段名称作为加密的一部分，确保不同字段的相同明文生成不同密文，同时保证同一字段的相同明文生成固定密文。
• 不要直接使用ActiveRecord::Encryption.encryptor.encrypt，它缺少模型字段的特定配置（比如deterministic开关、字段关联的盐值等），导致生成的密文与数据库存储值不符。

内容的提问来源于stack exchange，提问作者Vishwani patlan