Rails7启用SHA256密钥生成器后ActiveStorage Blob报错咨询

这个报错的核心原因是doc.file关联查询返回了nil，不是blob记录本身丢失，按以下顺序定位即可：

• 先打断点/打日志确认doc.file的返回值，确认是关联层查询失败，不是blob表数据缺失。
• 检查配置加载顺序：确认Rails.application.config.active_support.key_generator_hash_digest_class = OpenSSL::Digest::SHA256的配置位置，如果写在了config/initializers目录下的文件里，或者放在application.rb配置段的靠后位置，大概率是Rails启动时已经用默认SHA1算法完成了Active Storage签名验签逻辑的初始化，后续配置修改没有生效，导致签名生成、验签逻辑不匹配。
• 验证签名兼容性：取一条报错的文档记录，拿到数据库中存储的对应附件signed_id，分别在SHA1、SHA256两种配置环境下执行ActiveStorage::Attachment.find_signed(你的signed_id)，如果SHA1环境下能正常查到附件记录、SHA256环境下返回nil，即可确认是签名算法切换带来的兼容性问题。
• 排查缓存问题：如果新上传的文件偶发报错，检查是否有片段缓存、接口序列化层提前缓存了用错误算法生成的signed_id，导致查询时验签失败。

根据项目所处阶段选对应方案即可：

未上线/无存量历史数据 #

• 把SHA256配置移动到config/application.rb的对应配置段，确保在Rails加载7.0默认配置时同步生效：

# config/application.rb 配置段
module YourAppName
  class Application < Rails::Application
    config.load_defaults 7.0
    # 该配置要紧跟load_defaults 7.0声明，不要放到后置初始化文件里
    config.active_support.key_generator_hash_digest_class = OpenSSL::Digest::SHA256
    # 其余业务配置...
  end
end

• 清空本地/测试环境的数据库、缓存，重新走一遍文件上传、查询流程，确认doc.file.blob能正常返回即可。

已上线/有存量历史附件数据 #

不要直接硬切SHA256，走过渡迁移方案：

1. 先配置签名兼容逻辑，让系统同时识别老版本SHA1生成的签名、新版本SHA256生成的签名，避免线上存量数据访问报错：

# config/application.rb 对应配置段
config.active_support.key_generator_hash_digest_class = OpenSSL::Digest::SHA256
# 配置signed_id验签器支持双算法
config.active_support.signed_id_verifier = ActiveSupport::MessageVerifier.new(
  Rails.application.secret_key_base,
  digest: "SHA256",
  serializer: ActiveSupport::MessageVerifier.default_serializer
)
# 追加SHA1算法作为回退兼容，识别存量老签名
config.active_support.signed_id_verifier.rotate(
  Rails.application.secret_key_base,
  digest: "SHA1",
  serializer: ActiveSupport::MessageVerifier.default_serializer
)

2. 上线兼容配置后，写后台批量任务遍历所有存量文档记录，触发附件关联的signed_id重生成，把数据库、缓存中存储的老SHA1签名全部替换为新SHA256签名。
3. 观察至少1个版本周期，确认没有存量老签名的访问请求后，移除配置中SHA1的rotate兼容段，完成全量切换。

迁移全程不要修改secret_key_base，否则会导致所有历史签名直接失效，附件关联永久断裂。

内容的提问来源于stack exchange，提问作者Javier Burgos