为何Rails.application.key_generator.generate_key生成结果存在差异？

核心原因 #

Rails.application.key_generator.generate_key的输出完全依赖于Rails应用的secret_key_base，和Ruby/Rails版本、操作系统平台无关。只要不同机器上的secret_key_base不一致，生成的派生密钥就会不同——这就是你遇到问题的本质。

关键细节 #

• key_generator内部通过PBKDF2算法，以secret_key_base为根密钥，结合你传入的盐值（abcdef123456）生成派生密钥。根密钥不一致，最终结果必然不同。
• 你用固定字符串作为HMAC密钥时结果一致，是因为完全绕开了secret_key_base的依赖，和平台没有关联。

排查与解决步骤 #

1. 验证secret_key_base一致性
   在本地和服务器分别执行以下命令，确认输出是否完全相同：

   # Rails 5.2+ 版本使用credentials
   Rails.application.credentials.secret_key_base
   # 旧版本使用secrets配置
   Rails.application.secrets.secret_key_base
   

2. 同步secret_key_base
   • 如果使用Rails credentials（5.2+）：将本地的config/credentials.yml.enc和config/master.key文件同步到服务器，确保服务器能正确解密获取到相同的secret_key_base。
   • 如果使用secrets.yml：直接在服务器的config/secrets.yml中设置与本地完全相同的secret_key_base值。
3. 统一环境配置
   若需要跨环境（开发/生产等）生成相同的派生密钥，要确保所有环境的配置文件中secret_key_base保持一致。

额外说明 #

key_generator的设计初衷就是基于应用根密钥派生不同用途的子密钥，只要保证secret_key_base在所有部署机器上一致，就能确保generate_key的输出完全相同，不会因为平台差异导致代码迁移失效。

内容的提问来源于stack exchange，提问作者Jeremy