Ruby on Rails购物车登录后无法关联原有购物车重复创建问题

你的判断方向是对的：session[:cart_id] 是存储在浏览器端的临时会话数据，用户退出登录、清理缓存、开启新会话时这个值就会被清空。而你现有逻辑虽然给 User 模型加了 has_one :cart 关联、carts 表也设计了 user_id 字段，但 current_cart 方法完全没有用到用户和购物车的绑定关系，只认session里存储的购物车ID，新会话session为空时自然找不到用户之前创建的购物车，只会生成新的空购物车。

现有代码还存在3个隐藏问题：

• 未登录用户加购时新建的Cart实例不会存储user_id，后续用户登录后也无法把这部分购物车数据关联到对应账号
• 把current_cart写在ApplicationHelper里不符合Rails规范，helper方法默认只给视图层使用，控制器调用容易出现作用域异常
• 加购接口把user_id放在前端表单参数里传递，存在参数篡改风险，恶意用户可以伪造请求把商品加到其他用户的购物车中

1. 重写current_cart核心逻辑，优先绑定用户关联 #

删除ApplicationHelper里原有的current_cart方法，把逻辑迁移到app/controllers/application_controller.rb中，同时支持已登录用户的持久化购物车、未登录用户的临时购物车、登录时临时购物车自动合并三个能力：

class ApplicationController < ActionController::Base
  # 声明方法可在视图层调用
  helper_method :current_cart

  def current_cart
    if user_signed_in?
      # 优先查找当前登录用户已绑定的购物车，不存在则新建
      cart = current_user.cart || current_user.build_cart
      # 如果session里存在未登录时生成的临时购物车，自动合并商品后删除临时购物车
      if session[:cart_id].present?
        temp_cart = Cart.find_by(id: session[:cart_id])
        if temp_cart.present?
          temp_cart.cart_items.update_all(cart_id: cart.id)
          temp_cart.destroy
          session.delete(:cart_id)
        end
      end
      session[:cart_id] = cart.id
      cart
    else
      # 未登录用户使用session级别的临时购物车
      session[:cart_id].present? ? (Cart.find_by(id: session[:cart_id]) || create_guest_cart) : create_guest_cart
    end
  end

  private
  def create_guest_cart
    cart = Cart.create
    session[:cart_id] = cart.id
    cart
  end
end

2. 修复购物车项控制器逻辑 #

调整CartItemsController的create方法，去掉冗余的session赋值、移除前端传user_id的逻辑，避免参数安全问题：

class CartItemsController < ApplicationController
  def create
    @cart = current_cart
    @cart_item = @cart.cart_items.new(cart_params)
    if @cart.save
      flash[:success] = "商品已加入购物车"
    else
      flash[:error] = "加购失败，请重试"
    end
    redirect_back fallback_location: root_path
  end 

  def destroy
    @cart = current_cart
    @cart_item = @cart.cart_items.find(params[:id])
    @cart_item.destroy
    redirect_to carts_path
  end

  private 
  
  def cart_params
    # 移除:user_id参数，不需要前端传递
    params.require(:cart_item).permit(:product_id)
  end
end

3. 补全模型关联 #

给Cart模型补全和用户的关联，同时加上级联删除配置避免脏数据：

class Cart < ApplicationRecord
  # optional: true 兼容未登录用户临时购物车无user_id的场景
  belongs_to :user, optional: true
  # 购物车删除时关联的购物车项同步删除
  has_many :cart_items, dependent: :destroy
end

4. 清理视图冗余代码 #

删除商品详情页加购表单里传递user_id的隐藏域，这部分参数不需要前端提交：

<%= form_for @cart_item, remote: true  do |f|%>
    <%= f.hidden_field :product_id, :value => @product.id %>
    <%# 删除这行代码：<%= f.hidden_field :user_id, :value => current_user.id %> %>
    <%= f.submit "加入购物车", class: "btn btn-primary"%>
<% end %>

• 已登录用户在任何新会话、新设备登录账号时，都会直接通过用户关联查询到自己的持久化购物车，不会再生成空购物车
• 未登录状态下加购的商品会存在临时购物车中，用户登录后会自动合并到账号对应的正式购物车，不会丢失商品
• 移除了前端传递用户ID的逻辑，从接口层面避免了越权加购的安全问题
• 修正了原代码中重定向后才写入session的顺序问题，不会出现session存值失败的异常

内容的提问来源于stack exchange，提问作者Bakh