ActiveRecord加密属性改为确定性后无法查询的解决方法

核心问题 #

你遇到的查询失效，本质是新记录的确定性加密密文与查询时生成的密文不匹配，或者旧记录的加密元数据/密钥配置干扰了查询逻辑（空项目正常排除了功能本身的bug）。

排查与修复步骤 #

1. 验证新记录的加密一致性

先确认新创建的记录，其加密后的存储值与当前配置生成的密文是否一致：

# Rails控制台执行
bobby = Person.create(name: 'bobby')
# 直接从数据库读取加密后的原始值
db_encrypted = Person.connection.select_value("SELECT name FROM people WHERE id = #{bobby.id}")
# 用当前加密配置生成明文对应的密文
current_encrypted = Person.encrypted_attributes[:name].encrypt('bobby')
# 对比两者是否相等
puts db_encrypted == current_encrypted

• 如果结果为false，检查以下两点：
  • 密钥配置：确认config/credentials.yml.enc中的active_record_encryption配置（primary_key、deterministic_key、key_derivation_salt）是否正确，且未中途变更（确定性加密对密钥一致性要求极高）。
  • 数据库列长度：确定性加密的密文长度比非确定性的长，确保name列的长度至少为255字符（建议设为512），避免密文被截断。

2. 批量迁移旧记录为确定性加密格式

旧记录采用非确定性加密，无法通过确定性密文查询，必须将其重新加密：

# 分批处理旧记录，避免内存溢出
Person.find_each(batch_size: 100) do |person|
  # 读取明文（依赖previous参数兼容旧格式）
  plain_name = person.name
  # 用当前确定性配置重新加密，直接更新数据库列跳过回调/验证
  person.update_column(:name, Person.encrypted_attributes[:name].encrypt(plain_name))
end

迁移完成后，可移除encrypts配置中的previous: { deterministic: false }参数，减少不必要的兼容逻辑。

3. 修复数据库索引（可选）

如果之前给name列加过索引，非确定性加密的索引完全无效。迁移完成后，重建索引以优化查询性能：

# 生成迁移文件
rails generate migration AddIndexToPeopleName
# 在迁移文件中添加
add_index :people, :name

内容的提问来源于stack exchange，提问作者Will