Rails手动实现认证：Current.user作用及Current对象疑问

一、Current对象到底是什么？ #

Current是一个继承自ActiveSupport::CurrentAttributes的自定义类，通常需要你自己在项目中创建（一般放在app/models/current.rb路径下）。示例定义如下：

# app/models/current.rb
class Current < ActiveSupport::CurrentAttributes
  attribute :user
end

你代码里的Current.user = user中的user不是普通方法，而是通过attribute :user声明后，Rails自动生成的属性访问器（setter方法）——对应还有Current.user这个getter方法，用来读取当前请求上下文里的用户实例。

二、ActiveSupport::CurrentAttributes 核心功能（中文解析） #

这是Rails官方提供的请求上下文管理工具，核心作用是在单个HTTP请求的全生命周期内安全共享上下文数据，关键特性包括：

• 请求隔离：每个请求会生成独立的Current实例，不同请求的上下文数据完全隔离，不会出现多请求数据串扰的问题
• 全局便捷访问：可以在控制器、模型、服务类等任意代码位置直接通过Current.user获取当前用户，无需手动传递参数
• 自动清理：请求结束后Rails会自动调用reset方法清空所有属性，避免内存泄漏

三、你的登录代码逻辑拆解 #

在login方法里的三步操作各司其职：

1. Current.user = user：将登录用户实例存入当前请求的上下文，方便后续代码直接调用
2. reset_session：重置session，防止会话固定攻击（安全最佳实践）
3. session[:user_id] = user.id：将用户ID写入session，用于后续请求重新加载用户到Current上下文

补充：完整的请求上下文加载逻辑 #

通常需要在ApplicationController中添加前置钩子，在每个请求开始时从session加载用户到Current：

class ApplicationController < ActionController::Base
  before_action :load_current_user

  private

  def load_current_user
    Current.user = User.find_by(id: session[:user_id]) if session[:user_id]
  end

  def login(user)
    Current.user = user
    reset_session
    session[:user_id] = user.id
  end
end

内容的提问来源于stack exchange，提问作者Student CZ