Rails 6中Devise发送重置密码邮件后出现302无限重定向问题

可能的核心原因 #

1. 全局认证拦截未排除Devise路径
   如果你的ApplicationController添加了全局before_action :authenticate_user!，但没排除Devise的公开操作（登录、注册、密码重置等），就会触发循环：用户访问Devise的公开接口时，全局拦截要求登录，Devise重定向到登录页，而登录页又被全局拦截，形成无限循环。

即使Devise默认控制器会跳过认证拦截，但如果你自定义了Devise控制器（比如PasswordsController），必须手动添加跳过逻辑，否则会被全局拦截命中。

2. 自定义控制器未绑定路由
   你重写after_sending_reset_password_instructions_path_for后未生效，大概率是没在routes.rb中指定使用自定义控制器。Devise默认用自带控制器，你的重写代码根本没被执行，所以还是跳转到默认的sign_in_path。

3. User模型密码验证逻辑影响会话创建
   你重写的password_required?方法范围太广，可能在登录、重置密码等场景下干扰了Devise的密码验证流程，导致用户会话无法正常创建，进而触发重定向循环。

具体解决方案 #

1. 修复全局认证拦截

在ApplicationController中调整全局拦截规则，要么排除Devise控制器，要么精准排除公开路径：

class ApplicationController < ActionController::Base
  # 方式1：直接排除所有Devise控制器
  before_action :authenticate_user!, unless: :devise_controller?

  # 方式2：精准排除指定公开路径（根据你的路由调整）
  # before_action :authenticate_user!, except: [:home, :about]
end

如果自定义了Devise控制器，比如PasswordsController，要手动添加跳过逻辑：

class PasswordsController < Devise::PasswordsController
  skip_before_action :authenticate_user!
  
  protected

  def after_sending_reset_password_instructions_path_for(resource_name)
    root_path
  end
end

2. 绑定自定义控制器到路由

在config/routes.rb中指定Devise使用你的自定义控制器：

devise_for :users, controllers: {
  passwords: 'passwords',
  # 若还有其他自定义控制器（如registrations），也需在此声明
}

3. 调整User模型的密码验证逻辑

缩小password_required?的生效范围，仅在新建无密码用户的场景下跳过验证：

class User < ApplicationRecord
  attr_accessor :skip_password_validation

  has_secure_token
  devise :database_authenticatable, :registerable,
         :recoverable, :rememberable, :validatable, :confirmable

  protected

  def password_required?
    # 仅在新建用户且标记跳过密码验证时，才跳过默认逻辑
    if new_record? && skip_password_validation
      false
    else
      super
    end
  end
end

4. 检查开发环境会话配置

在config/environments/development.rb中确认会话配置正常：

config.session_store :cookie_store, key: '_your_app_session'
config.action_dispatch.cookies_same_site_protection = :lax

同时确保config.cache_classes为false（开发环境默认值），避免控制器重写未被加载。

内容的提问来源于stack exchange，提问作者nico_lrx