Rails用Redis存储Session时键为哈希值的原因及查询方法

补充说明：你遇到的Redis命令报错是命令名输入错误导致的：Redis没有单数形式的key命令，读取单个字符串键使用GET，全局模式匹配键的命令是复数形式的KEYS。注意生产环境禁止使用KEYS *遍历全量键，该命令会阻塞Redis单线程处理逻辑，影响服务可用性，遍历键请使用SCAN游标式遍历命令。

1. 为什么Redis存储的Session键和Cookie中的明文Session ID不匹配 #

这是Rails Session层的默认安全设计，属于预期行为：

• Cookie中存储的是公开Session ID（public_id），是可以暴露给客户端的标识；Redis中存储的键是私有Session ID（private_id），仅在服务端内部使用，不会直接返回给客户端。
• 你看到的键前缀2::是Rack Session的存储版本标识，用来区分不同版本的会话序列化、存储规则，避免框架版本升级后旧格式会话数据读取冲突；前缀后拼接的长哈希串，是服务端用项目secret_key_base作为密钥，对公开Session ID做HMAC单向哈希计算得到的值。
• 该设计的核心作用是防范会话固定、会话撞库攻击：即使攻击者通过XSS等手段拿到了客户端侧的公开Session ID，没有服务端持有的密钥就无法算出后端实际存储的键名，无法直接伪造请求读取、篡改其他用户的会话数据。

2. 能否直接用Cookie中的原始Session ID查询Redis中的会话数据 #

无法直接用原始公开ID查询，必须先通过Rails内置的会话逻辑将公开ID转换为对应的私有存储键，不需要手动实现哈希逻辑，直接调用Rack提供的标准接口即可：
在Rails控制台执行以下代码即可得到对应Redis键：

# 替换为从Cookie中提取的原始Session ID
raw_public_sid = "0f1483b12090bbad4f351643fc4cfc26"
# 计算Redis中实际存储的键名
redis_session_key = Rack::Session::SessionId.new(raw_public_sid).private_id
# 输出结果即为"2::xxxx哈希值"格式的键，可直接用于Redis查询
puts redis_session_key

拿到输出的键名后，直接在redis-cli中执行get 键名即可读取对应的Session序列化数据。

内容的提问来源于stack exchange，提问作者Jin Lim