Rails使用Devise gem时账户锁定仍显示invalid错误如何解决

解决方案 #

问题原因

你之前写的before_action先执行设置了flash，但后续Devise内置的登录验证失败逻辑会直接覆盖flash内容，所以自定义提示不生效。

方法1：自定义Devise FailureApp（官方推荐方案）

Devise底层依赖Warden做认证，所有验证失败的逻辑都通过FailureApp处理，修改该组件可以从根源上控制提示内容，不会被覆盖。

1. 新建文件 app/lib/custom_devise_failure.rb，写入以下代码：

class CustomDeviseFailure < Devise::FailureApp
  def i18n_message
    email = params[:educator]&.dig(:email)
    if email.present?
      user = Person.find_by(email: email)
      # 最后一次尝试警告
      return I18n.t("devise.failure.last_attempt") if user&.failed_attempts == (Person.maximum_attempts - 1) && !user.access_locked?
      # 账户锁定提示
      return I18n.t("devise.failure.locked") if user&.access_locked?
    end
    super
  end
end

2. 打开Devise配置文件 config/initializers/devise.rb，添加以下配置启用自定义FailureApp：

config.warden do |manager|
  manager.failure_app = CustomDeviseFailure
end

3. 重启Rails服务即可生效。

方法2：重写SessionsController的create方法

如果不想修改底层FailureApp，也可以直接重写登录逻辑，在Devise验证前先做锁定检查：

1. 生成Devise自定义控制器：

rails generate devise:controllers educators

2. 打开生成的 app/controllers/educators/sessions_controller.rb，修改create方法：

class Educators::SessionsController < Devise::SessionsController
  def create
    # 提前检查账户锁定状态
    user = Person.find_by(email: params[:educator][:email])
    if user&.access_locked?
      flash[:alert] = I18n.t("devise.failure.locked")
      redirect_to new_educator_session_path and return
    end
    # 走Devise默认登录逻辑
    super
  end
end

3. 打开 config/routes.rb，修改Devise路由指定自定义控制器：

devise_for :educators, controllers: { sessions: 'educators/sessions' }

额外注意事项

• 确认Person模型中已经引入:lockable模块：

class Person < ApplicationRecord
  devise :database_authenticatable, :validatable, :lockable # 确保有:lockable项
end

• 你当前配置中unlock_in设为10分钟，但devise.en.yml里locked提示写的是5分钟，建议修改统一避免用户混淆。

内容的提问来源于stack exchange，提问作者Bartosz Chodyła