从Rails 4.2升级到Rails 5.2后Signed Cookie数据无法读取求助

问题回顾 #

你在迁移Rails 4.2应用到5.2版本时，遇到了签名Cookie读取失败的问题：

• 设置Cookie的代码：cookies.permanent.signed["wsid#{session[:user_id]}".to_sym] = { value: wsid, httponly: true }
• 升级后用相同方式读取却拿不到值
• 已经添加了config.action_dispatch.use_authenticated_cookie_encryption = false配置，但问题仍未解决
• 发现通过Base64.decode64能看到Cookie的正确值——这其实是正常的，因为signed Cookie仅做签名防篡改，并不加密内容

核心原因 #

Rails 5.2对签名Cookie的处理逻辑做了两处关键调整，即使关闭了新的加密算法，也可能导致旧Cookie无法通过验证：

1. 签名密钥派生逻辑变化：Rails 4.x直接用secret_key_base作为签名密钥，而5.2默认会从secret_key_base派生出不同用途的子密钥，这会导致旧签名无法被新系统验证。
2. 默认签名哈希算法变更：Rails 4.x默认用SHA1做签名，5.2升级为SHA256，算法不匹配也会导致验证失败。

分步解决方案 #

1. 配置Rails 5.2兼容旧版签名逻辑

在所有环境配置文件（config/environments/development.rb、production.rb等）中添加以下配置，强制系统使用和4.2一致的签名规则：

# 保持和Rails 4.x一致的Cookie序列化方式（如果之前用的是json就改成:json）
config.action_dispatch.cookies_serializer = :marshal
# 改用Rails 4.x默认的SHA1签名算法
config.action_dispatch.signed_cookie_digest = :SHA1
# 你已经添加的配置，保留以关闭新的加密逻辑
config.action_dispatch.use_authenticated_cookie_encryption = false

2. 验证签名一致性（可选）

如果配置后还是有问题，可以在Rails控制台手动验证旧Cookie的签名是否有效：

# 从浏览器复制Cookie的原始值（格式类似"xxx--yyyy"）
raw_cookie = "替换成你的Cookie原始值"
value_part, signature_part = raw_cookie.split('--')
# 用Rails 4.x的逻辑计算预期签名
expected_signature = OpenSSL::HMAC.hexdigest(OpenSSL::Digest::SHA1.new, Rails.application.secrets.secret_key_base, value_part)
# 如果输出true，说明签名本身是对的，问题出在Rails的验证逻辑上
puts expected_signature == signature_part

3. 过渡兼容方案（针对存量Cookie）

如果上面的配置仍无法读取存量Cookie，可以在代码中添加兼容逻辑，先尝试新方式读取，失败后手动用旧逻辑验证并重新设置Cookie：

def fetch_wsid(user_id)
  cookie_key = "wsid#{user_id}".to_sym
  # 先尝试用Rails 5.2的方式读取
  wsid = cookies.permanent.signed[cookie_key]

  unless wsid
    raw_value = cookies[cookie_key]
    if raw_value
      value_part, signature_part = raw_value.split('--')
      secret = Rails.application.secrets.secret_key_base
      expected_signature = OpenSSL::HMAC.hexdigest(OpenSSL::Digest::SHA1.new, secret, value_part)

      if expected_signature == signature_part
        # 根据你之前的序列化方式选择Marshal或JSON
        wsid = Marshal.load(Base64.decode64(value_part))
        # 重新设置Cookie为Rails 5.2兼容的格式
        cookies.permanent.signed[cookie_key] = { value: wsid, httponly: true }
      end
    end
  end

  wsid
end

4. 确认secret_key_base完全一致

一定要确保Rails 5.2应用的secret_key_base和旧版4.2的完全相同，哪怕一个字符的差异都会导致签名验证失败。

重要提醒 #

• 不要混淆signed和encrypted Cookie：signed仅防篡改，内容是Base64编码的明文，encrypted才会加密内容。
• 尽量避免用动态生成的符号作为Cookie键（比如"wsid#{user_id}".to_sym），长期来看可以改用固定键+用户ID作为值的一部分，或者直接存在session中，这样更易维护。

内容的提问来源于stack exchange，提问作者ZedTuX