使用Spree/spree_auth_devise Gem在自定义API控制器中无法认证用户

你的问题核心是自定义API控制器使用了错误的认证方法，导致Spree无法识别Storefront V2 API的访问令牌。

原因 #

Spree的V2 Storefront API和传统Spree API的认证机制存在差异：

• 默认的/api/v2/storefront/*端点继承自Spree::Api::V2::Storefront::BaseController，该控制器集成了基于Doorkeeper的令牌认证逻辑，能正确识别Storefront的访问令牌。
• 你自定义的控制器继承了Spree::Api::V2::BaseController，并使用了authenticate_spree_user!——这是Devise的认证方法，它期望的是Session或Devise专属的认证令牌，和Storefront API的令牌不兼容，所以即使令牌有效，也会被判定为未登录或令牌过期。

解决方案 #

方案1：继承Storefront基础控制器（推荐） #

直接让自定义控制器继承Spree::Api::V2::Storefront::BaseController，该父类已经内置了正确的认证逻辑，无需手动添加before_action：

class Api::V2::CustomController < Spree::Api::V2::Storefront::BaseController
  def index
    render json: { message: 'Custom Controller Working!' }
  end
end

方案2：手动引入Storefront认证逻辑 #

如果不想继承Storefront控制器，可以在自定义控制器中引入认证助手并使用正确的认证方法：

class Api::V2::CustomController < Spree::Api::V2::BaseController
  include Spree::Api::V2::AuthenticationHelpers
  before_action :authenticate_user

  def index
    render json: { message: 'Custom Controller Working!' }
  end
end

这里的authenticate_user是Storefront API专用的认证方法，能正确解析并验证你的访问令牌。

额外排查点 #

• 确认请求头的令牌格式正确：Storefront V2 API要求使用Authorization: Bearer <你的令牌>格式传递令牌。
• 检查Doorkeeper的scope配置：确保你的令牌拥有访问自定义端点的权限（如果配置了scope限制）。

内容的提问来源于stack exchange，提问作者pacafs