Rails从5.1升级到7后Redis Session Store失效，CookieStore正常

问题核心现象 #

Rails 从 5.1 升级到 7 后，使用 Redis 作为 Session Store 时出现两个关键问题：

• POST/PUT 请求触发 ActionController::InvalidAuthenticityToken 错误
• Flash 消息无法在页面显示
  切换回默认 CookieStore 后功能完全恢复，且 redis-cli monitor 能观测到请求已到达 Redis，说明 Redis 连接正常，但会话数据的存储/读取存在一致性问题。

修复步骤 #

1. 修正 Redis Store 配置参数 #

Rails 7 对 :redis_store 的配置逻辑有调整，原配置的部分参数格式或默认值已不兼容，更新为以下推荐配置：

# config/initializers/session_store.rb
Rails.application.config.session_store :redis_store,
  servers: {
    url: 'redis://localhost:6379/0/session',
    reconnect_attempts: 3,
    retry_timeout: 1
  },
  key: '_repubclub_session_development',
  expire_after: 1.day, # Rails 7 推荐使用单数形式，替代旧版 1.days
  signed: true,
  secure: Rails.env.production?, # 生产环境强制开启，开发环境设为 false
  httponly: true, # 增强会话安全性，避免前端脚本访问
  same_site: :lax # Rails 7 默认推荐的跨站会话策略

2. 确保依赖版本兼容性 #

当前使用的 redis-actionpack ~>5.3 虽兼容 Rails 7，但建议升级到最新稳定版以适配细节：

# Gemfile
gem 'redis', '~> 5.0'
gem 'redis-actionpack', '~> 5.4'

执行依赖更新：

bundle update redis-actionpack redis

3. 清理 Redis 旧会话数据 #

升级后旧版本的会话格式可能与 Rails 7 不兼容，清理目标库的会话数据：

redis-cli SELECT 0
redis-cli KEYS "session:*" | xargs redis-cli DEL

注意：将 0 替换为你的会话数据库编号，避免误删其他业务数据。

4. 调试会话加载状态 #

在全局控制器中添加调试代码，确认会话 ID 是否在请求间保持一致：

# app/controllers/application_controller.rb
before_action :log_session_status

def log_session_status
  Rails.logger.info "Current Session ID: #{session.id}"
  Rails.logger.info "Generated CSRF Token: #{form_authenticity_token}"
end

如果日志中 session.id 每次请求都变化，说明会话未被正确持久化，需检查 Redis 连接的权限、数据库编号是否配置正确。

5. 显式配置 Flash 存储 #

Rails 7 默认将 Flash 消息绑定到会话，若会话读取异常会导致 Flash 丢失，可显式配置：

# config/application.rb
config.action_dispatch.flash_messages = true
config.action_dispatch.flash_secure_cookie = Rails.env.production?

验证步骤 #

1. 重启 Rails 服务器
2. 重新执行 redis-cli monitor 观测会话的存储/读取操作
3. 测试 POST/PUT 请求，确认 CSRF 验证通过、Flash 消息正常显示

内容的提问来源于stack exchange，提问作者bkunzi01