session_store存储的session_id与request.session[:session_id]不一致问题

为什么二者不同？ #

数据库sessions表中的session_id是Rails经过安全处理后的完整会话标识符，格式为版本号::哈希值。其中：

• 2::是Rails会话的版本标识（Rails 7默认使用版本2）；
• 后面的长字符串是对原始会话ID进行加盐哈希运算后的结果。

而request.session[:session_id]返回的是未经过处理的原始会话ID。Rails这么做是为了提升安全性：通过单向哈希+版本前缀的方式，即使数据库中的会话记录泄露，攻击者也无法直接通过存储的session_id伪造合法会话，因为原始ID和存储值是不可逆的映射关系。

activerecord-session_store gem会自动处理这个转换逻辑：当创建会话时，它会基于原始ID、应用的secret_key_base和会话版本生成加密后的存储ID；当读取会话时，再通过存储ID反向验证并关联到原始ID。

如何获取数据库中的session_id以访问会话记录？ #

有两种可靠的方式：

1. 直接从会话Cookie中获取 #

浏览器发送的_my_app_session Cookie值，就是数据库中存储的完整session_id。你可以直接通过请求对象获取这个值，然后查询会话记录：

# 获取数据库存储格式的session_id
stored_session_id = request.cookies['_my_app_session']
# 查询对应的会话记录
session_record = Session.find_by(session_id: stored_session_id)

2. 通过原始ID生成存储格式的session_id #

如果只有request.session[:session_id]的原始ID，可以利用Rails的加密逻辑生成对应的存储ID：

original_session_id = request.session[:session_id]
secret_key = Rails.application.secret_key_base
session_version = 2 # 与数据库中session_id的版本号一致

# 生成哈希值
hashed_id = OpenSSL::HMAC.hexdigest(OpenSSL::Digest.new('SHA256'), secret_key, original_session_id)
# 拼接成数据库存储的格式
stored_session_id = "#{session_version}::#{hashed_id}"

# 查询会话记录
session_record = Session.find_by(session_id: stored_session_id)

也可以借助会话存储的内置方法生成：

original_session_id = request.session[:session_id]
store = Rails.application.config.session_store.new(Rails.application, Rails.application.config.session_options)
stored_session_id = store.generate_sid(original_session_id)
session_record = Session.find_by(session_id: stored_session_id)

内容的提问来源于stack exchange，提问作者David