如何在无视图的Rails API后端与Vue前端实现用户认证？

一、适配Devise用于API场景 #

Devise并非只能搭配视图使用，通过调整配置或搭配扩展，完全可以适配纯API后端：

• 开启Rails API模式：在config/application.rb中设置config.api_only = true，Devise会自动适配无视图场景，不再渲染页面。
• 使用devise_token_auth gem：这是专为API场景设计的Devise扩展，提供基于token的认证机制，登录后直接返回前端可用的认证token，无需手动处理会话逻辑。
• 自定义Devise控制器：如果不想额外引入gem，可重写Devise的会话控制器，跳过视图渲染，返回JSON响应。比如自定义SessionsController，重写create方法验证账号密码后，返回用户信息和生成的认证token；重写destroy方法处理登出逻辑。

二、JWT认证方案（替代Devise） #

如果不想依赖Devise，JWT（JSON Web Token）是轻量且流行的API认证方案：

• Rails端：引入jwt gem，用户登录时，后端验证账号密码合法性后，生成包含用户ID等核心信息的JWT返回给前端。后续前端请求时，后端通过解码JWT验证请求的合法性。
• Vue端：登录成功后将token存储在localStorage或sessionStorage中，封装Axios请求拦截器，自动在需要认证的请求头中携带Authorization: Bearer <token>。同时处理token过期的情况，比如跳转到登录页或发起token刷新请求。

三、认证需前后端配合，不能仅在Vue端实现 #

认证逻辑必须以后端为核心，前端仅负责状态管理和请求携带token：

• 密码验证、权限校验等敏感逻辑必须在后端完成，前端只能做输入格式校验和登录状态的UI展示，无法保证安全。
• 后端要处理token的过期、刷新、失效等逻辑，比如JWT可设置过期时间，后端提供刷新接口，前端在token过期前请求新token维持会话。

内容的提问来源于stack exchange，提问作者Lorenzo Simonassi