通过AWS API Gateway代理时，让Devise Cookie在HTTP下标记为Secure

核心原因 #

Rails 7.1+原生支持config.assume_ssl配置，但7.0.x版本无此原生能力，手动模拟时需同时覆盖Rails的请求协议判断逻辑和Devise的Cookie配置规则——Devise的Session Cookie设置可能独立于Rails全局Session配置，这是导致常规配置失效的关键。

具体解决方案 #

1. 正确配置可信代理与转发头 #

AWS API Gateway会发送X-Forwarded-Proto头，需先让Rails信任该头，并将Gateway的IP加入可信代理列表：

• 在config/environments/production.rb中添加：

  # 生产环境建议替换为AWS API Gateway的具体IP段，避免宽松配置带来的风险
  config.action_dispatch.trusted_proxies = IPAddr.new('0.0.0.0/0')
  config.action_dispatch.default_headers.merge!({
    'X-Forwarded-Proto' => 'https'
  })
  

2. 强制Session Cookie的Secure属性 #

同时在Rails全局Session配置和Devise专属配置中强制启用Secure：

• 修改config/initializers/session_store.rb：

  Rails.application.config.session_store :cookie_store, key: '_your_app_session',
    secure: true,
    same_site: :lax,
    domain: :all # 根据实际域名调整
  

• 修改config/initializers/devise.rb中的Session配置：

  Devise.setup do |config|
    # 其他配置保持不变
    config.session_store = :cookie_store, {
      key: '_devise_session',
      secure: true,
      same_site: :lax
    }
  end
  

3. 手动强制Rails识别HTTPS请求（7.0.x专属） #

由于7.0.x无assume_ssl，通过自定义中间件强制改写请求环境：

• 创建app/middleware/force_ssl_proxy.rb：

  class ForceSslProxy
    def initialize(app)
      @app = app
    end
  
    def call(env)
      env['HTTPS'] = 'on'
      env['HTTP_X_FORWARDED_PROTO'] = 'https'
      @app.call(env)
    end
  end
  

• 在config/application.rb中注册中间件：

  config.middleware.use ForceSslProxy
  

4. 验证配置有效性 #

部署后通过两种方式验证：

• 用浏览器开发者工具查看Cookie列表，确认_session_id和_devise_session带有Secure标记；
• 用curl命令查看响应头：

  curl -v https://your-api-domain.com/users/sign_in
  

  检查Set-Cookie字段是否包含Secure关键字。

内容的提问来源于stack exchange，提问作者qulxis