Rails使用Devise多步注册时将密码存入session是否安全及替代方案

密码明文存储在session中的安全性分析 #

默认Rails的Cookie Session经过AES加密和签名，只要secret_key_base不泄露，用户无法直接解密读取session内容，但依旧不建议明文存储密码到session，核心风险点如下：

• 如果使用服务端session存储（Redis、数据库等），明文密码会留下永久存储痕迹，有权限访问存储介质的人员可直接读取，违反敏感数据最小化存储原则，也不符合数据安全合规要求
• 若站点存在XSS漏洞、用户设备被窃取cookie，即使session内容加密，也存在敏感数据间接泄露的风险
• 若服务端存在日志打印session的疏漏，会直接暴露用户明文密码

更合适的实现方案 #

以下方案都可以满足你「第一步提交即时校验、不需要用户退回修改账号凭证」的需求：

方案1：仅存储密码哈希到session #

第一步校验用户名格式、密码复杂度通过后，直接调用Devise加密方法生成密码哈希，完全丢弃明文密码再存入session：

# 第一步接口校验通过后的处理逻辑
password_digest = Devise::Encryptor.digest(User, params[:password])
session[:temp_signup_data] = { username: params[:username], password_digest: password_digest }

第二步提交时直接取出session中的用户名和密码哈希，补全其他资料后写入用户表即可，全程不会留存明文密码。这个方案改动量最小，适配你现有的拆分表单逻辑。

方案2：预创建未激活用户 #

第一步校验通过后，直接在用户表创建一条is_active=false的未激活用户记录，存储用户名和密码哈希，同时生成唯一的临时业务token返回给前端。第二步提交时前端携带该token，找到对应未激活用户补全资料后，将is_active改为true即可。
这个方案完全不需要在session存储敏感数据，还支持设置未激活用户的过期时间，定期清理未完成注册的无效数据，也允许用户中途退出后重新进入流程继续填写。

内容的提问来源于stack exchange，提问作者JIGME