如何在不同Devise Pepper环境下迁移加密用户密码（无需重置）

核心思路 #

由于Devise的pepper是和明文密码拼接后再进行bcrypt哈希的，新旧环境pepper不同时，直接迁移加密密码会导致验证失败。我们可以通过过渡验证+后台自动重哈希的方式，让用户无需重置密码就能正常登录，同时逐步将密码哈希切换为新pepper的版本。

具体步骤 #

1. 扩展用户表字段 #

新增两个临时字段，用来存储旧加密密码和标记迁移状态：

# 生成迁移文件
rails generate migration AddOldPasswordFieldsToUsers encrypted_password_old:string password_migrated:boolean

# 执行数据库迁移
rails db:migrate

在用户模型里设置默认值：

# app/models/user.rb
class User < ApplicationRecord
  devise :database_authenticatable, :registerable, # 保留原有的Devise配置
         :recoverable, :rememberable, :validatable

  # 给迁移状态字段设置默认值
  attribute :password_migrated, :boolean, default: false
end

2. 备份旧加密密码 #

把现有encrypted_password的内容批量复制到新增的临时字段：

# 在Rails控制台执行，或写脚本批量处理
User.update_all("encrypted_password_old = encrypted_password")

3. 重写密码验证逻辑 #

在用户模型里覆盖Devise的valid_password?方法，优先用新pepper验证，失败则尝试旧pepper，验证通过后自动用新pepper重新哈希并保存：

# app/models/user.rb
def valid_password?(password)
  # 先尝试用新环境的pepper验证
  return true if super(password)

  # 未完成迁移的用户，用旧pepper验证
  unless password_migrated
    old_pepper = ENV['OLD_DEVISE_PEPPER'] # 从环境变量读取旧pepper，不要硬编码
    old_bcrypt = ::BCrypt::Password.new(encrypted_password_old)
    # 手动计算旧pepper对应的密码哈希
    old_digest = ::BCrypt::Engine.hash_secret("#{password}#{old_pepper}", old_bcrypt.salt)

    if old_digest == encrypted_password_old
      # 验证通过，用新pepper重新哈希并保存
      self.password = password
      self.password_confirmation = password
      self.password_migrated = true
      save(validate: false) # 跳过其他字段验证，只更新密码相关内容
      return true
    end
  end

  false
end

4. 清理临时字段（可选） #

等所有用户都完成至少一次登录（自动完成密码迁移）后，可以移除临时字段：

# 生成移除字段的迁移文件
rails generate migration RemoveOldPasswordFieldsFromUsers encrypted_password_old:string password_migrated:boolean

# 执行迁移
rails db:migrate

注意事项 #

• 旧pepper要通过环境变量安全存储，避免泄露
• 批量复制数据时建议在业务低峰期操作，减少影响
• 先在测试环境验证流程，确保登录正常后再部署到生产

内容的提问来源于stack exchange，提问作者Surya Pratap Singh