如何构建可接收外部请求的Rails Devise控制器？

我配置了如下Devise路由：

devise_scope :user do
  post 'log-in/testing', to: 'sessions#create_session'
end

对应的控制器代码：

class SessionsController < DeviseController
  def create_session
    database = permitted_params[:database]
    session_id = permitted_params[:sessionId]
    user_name = permitted_params[:userName]

    # 其余业务逻辑
  end
end

尝试用curl发送请求到该端点：

curl --location 'http://127.0.0.1:3000/log-in/testing' \
--header 'Content-Type: application/json' \
--data-raw '{
    "database":"database",
    "sessionId":"OUZS_onnmm",
    "userName":"pra@gmail.com"
}'

但收到422错误，且控制器开头的byebug断点完全没触发。目前Devise的POST控制器只能被Rails内部的HTML页面访问，想问能不能构建可以被Angular、React这类外部应用调用的Devise控制器？

一、先解决422错误（断点未触发的核心原因） #

422错误本质是CSRF验证失败，Rails默认会对所有非GET请求做CSRF校验，外部应用发送的请求没有携带正确的CSRF令牌，导致请求在进入控制器之前就被拦截，这就是断点没触发的原因。

解决步骤： #

1. 跳过目标接口的CSRF校验：
   在控制器中添加跳过校验的代码，仅针对外部调用的action生效：

   class SessionsController < DeviseController
     # 只跳过create_session接口的CSRF校验
     skip_before_action :verify_authenticity_token, only: [:create_session]
   
     def create_session
       # 你的业务逻辑
     end
   
     private
     def permitted_params
       params.permit(:database, :sessionId, :userName)
     end
   end
   

2. 确保参数能被正确接收：
   Rails默认会将JSON请求的参数包裹在对应资源的键下（比如user），而你的curl请求直接传了顶级键。可以二选一处理：

   • 要么修改curl请求为嵌套结构：

     curl --location 'http://127.0.0.1:3000/log-in/testing' \
     --header 'Content-Type: application/json' \
     --data-raw '{
         "user": {
             "database":"database",
             "sessionId":"OUZS_onnmm",
             "userName":"pra@gmail.com"
         }
     }'
     

     同时更新permitted_params：

     def permitted_params
       params.require(:user).permit(:database, :sessionId, :userName)
     end
     

   • 要么修改Rails参数包裹配置：在config/initializers/wrap_parameters.rb中添加允许顶级参数的规则，允许直接接收顶级JSON键。

二、构建支持外部应用的Devise控制器 #

完全可以构建适配Angular/React等外部应用的Devise控制器，核心要处理以下几点：

1. 处理跨域请求（CORS） #

如果外部前端和Rails后端不在同域，必须配置CORS才能让前端正常发起请求：

• 在Gemfile中添加rack-cors依赖：

  gem 'rack-cors'
  

• 执行bundle install后，在config/initializers/cors.rb中配置跨域规则：

  Rails.application.config.middleware.insert_before 0, Rack::Cors do
    allow do
      origins 'http://your-frontend-domain.com' # 生产环境指定具体前端域名，测试阶段可用'*'允许所有
      resource '*',
        headers: :any,
        methods: [:get, :post, :put, :patch, :delete, :options, :head]
    end
  end
  

2. 返回JSON格式响应 #

Devise默认返回HTML，需要在控制器中明确返回JSON格式的响应，适配前端需求：

def create_session
  database = permitted_params[:database]
  session_id = permitted_params[:sessionId]
  user_name = permitted_params[:userName]

  # 示例：验证用户逻辑
  user = User.find_by(email: user_name, database: database)
  if user && user.valid_session?(session_id)
    render json: { status: 'success', user: user.as_json(only: [:id, :email]) }, status: :ok
  else
    render json: { status: 'error', message: '登录验证失败' }, status: :unauthorized
  end
end

3. 用Token认证替代Session #

外部单页应用更适合用Token认证（比如JWT）而非Rails默认的Session Cookie：

• 可以集成devise_token_auth gem快速实现Token认证，或者自己手动实现JWT生成与校验逻辑。
• 前端每次请求时，在请求头中携带Token（比如Authorization: Bearer <token>），后端验证Token有效性即可完成身份校验。

内容的提问来源于stack exchange，提问作者Tian Gao