Rails 7中Devise Lockable+Paranoid模式下锁定消息不显示问题

Devise 的 config.paranoid = true 设计初衷是隐藏用户存在性信息，所以默认情况下即使用户账号被锁定，也会返回通用的「无效的邮箱或密码」提示，避免攻击者通过错误信息判断账号是否存在。要实现保留 paranoid 模式下其他场景的通用提示，同时在登录时对已锁定的合法账号显示锁定提示，需要自定义登录控制器来处理逻辑：

1. 生成自定义 Sessions 控制器 #

执行 Rails 生成命令：

rails generate devise:controllers users -c sessions

2. 重写失败认证逻辑 #

打开生成的 app/controllers/users/sessions_controller.rb，重写 failed_authentication 方法：

class Users::SessionsController < Devise::SessionsController
  protected

  def failed_authentication(message)
    # 尝试根据邮箱查找用户（paranoid 模式下 Devise 不会暴露用户存在性）
    user = User.find_by(email: params[:user][:email])
    if user&.access_locked?
      # 若用户存在且被锁定，返回锁定提示
      flash[:alert] = I18n.t("devise.failure.locked", unlock_in: Devise.unlock_in / 60)
    else
      # 其他情况返回通用错误
      flash[:alert] = I18n.t("devise.failure.invalid")
    end
    redirect_to new_user_session_path
  end
end

3. 修改路由配置 #

在 config/routes.rb 中，将 Devise 的 session 路由指向自定义控制器：

devise_for :users, controllers: { sessions: "users/sessions" }

4. 确认 I18n 翻译 #

确保 config/locales/devise.zh-CN.yml（或对应语言文件）中有锁定提示的翻译：

zh-CN:
  devise:
    failure:
      locked: "您的账号已被锁定，请%{unlock_in}分钟后重试。"
      invalid: "无效的邮箱或密码。"

这样配置后，当用户输入正确邮箱但账号被锁定时，会显示锁定提示；其他情况（邮箱不存在、密码错误）仍返回通用提示，既满足渗透测试的锁定提示要求，又保留了 paranoid 模式下的安全特性。

内容的提问来源于stack exchange，提问作者mr_muscle