Rails ActionCable：如何为特定频道跳过连接认证？

在Rails 7.0.3的Action Cable中，Connection层的认证是全局的——所有频道共享同一个WebSocket连接，连接建立时就会执行connect方法，因此无法直接在单个频道中跳过认证逻辑。但我们可以通过修改Connection的认证逻辑，结合频道层面的权限控制，实现"部分频道允许匿名访问"的需求，具体方案如下：

1. 修改Connection类，支持匿名连接 #

调整connect方法，让它区分"带token的认证连接"和"不带token的匿名连接"，同时标记连接身份：

module ApplicationCable
  class Connection < ActionCable::Connection::Base
    identified_by :current_user, :is_anonymous

    def connect
      if request.params[:token].present?
        # 带token的请求，执行原有认证逻辑
        self.current_user = find_verified_user
        self.is_anonymous = false
      else
        # 不带token的请求，标记为匿名连接
        self.current_user = nil
        self.is_anonymous = true
      end
    end

    private

    def find_verified_user
      # 保留你原有的JWT解析与用户查找逻辑，验证失败则拒绝连接
      decoded_token = JWT.decode(request.params[:token], Rails.application.credentials.jwt_secret, true, algorithm: 'HS256')
      user = User.find(decoded_token[0]['user_id'])
      user || reject_unauthorized_connection
    rescue JWT::DecodeError, ActiveRecord::RecordNotFound
      reject_unauthorized_connection
    end
  end
end

2. 为需要认证的频道添加校验 #

在UserChannel这类必须认证的频道中，添加订阅前的校验，确保只有已认证用户能订阅：

class UserChannel < ApplicationCable::Channel
  before_subscribe :ensure_authenticated

  def subscribed
    stop_all_streams
    stream_for "user_#{current_user.id}_verify_email"
  end

  private

  def ensure_authenticated
    # 若未认证，拒绝订阅请求
    reject unless current_user.present?
  end
end

3. 配置无需认证的ForgotPasswordChannel #

针对匿名允许的频道，添加订阅前的校验：只允许匿名连接访问，同时校验必要参数（如重置密码token）以保证安全：

class ForgotPasswordChannel < ApplicationCable::Channel
  before_subscribe :validate_anonymous_access

  def subscribed
    stop_all_streams
    # 不要使用全局频道名，绑定到具体的重置token，避免广播给所有匿名用户
    stream_for "forgot_password_#{params[:reset_token]}"
  end

  private

  def validate_anonymous_access
    # 仅允许匿名连接订阅
    reject unless is_anonymous
    # 校验重置token参数是否存在
    reject unless params[:reset_token].present?
    # 可选：验证token的有效性（比如查询数据库中的密码重置记录）
    reject unless PasswordReset.exists?(token: params[:reset_token], expired_at: Time.now..)
  end
end

4. 客户端调整 #

• 认证连接（用于订阅UserChannel等）：保持原有带token的连接方式

  const authenticatedConsumer = createConsumer(`ws://localhost:3000/cable?token=${userToken}`);
  

• 匿名连接（用于订阅ForgotPasswordChannel）：不带token建立连接，订阅时传入重置token

  const anonymousConsumer = createConsumer(`ws://localhost:3000/cable`);
  
  anonymousConsumer.subscriptions.create(
    {
      channel: "ForgotPasswordChannel",
      reset_token: "用户从邮箱获取的重置token"
    },
    {
      received(data) {
        // 收到服务器广播后，展示重置密码界面
        console.log("重置链接已验证，可展示重置界面");
      }
    }
  );
  

关键注意事项 #

• 安全优先：匿名频道绝对不能使用全局广播流，必须绑定到唯一的业务标识（如重置token），防止敏感信息被所有匿名用户接收。
• 参数校验：在ForgotPasswordChannel中一定要验证重置token的有效性，避免恶意用户订阅无关频道。
• 连接隔离：客户端应针对认证和匿名场景使用不同的Consumer实例，避免连接状态冲突。

内容的提问来源于stack exchange，提问作者evilGenious