Rails API集成Devise认证时销毁会话仅返回200无预期响应问题

核心问题汇总 #

• 销毁会话的请求地址错误：应该请求DELETE /users/sign_out，而非/users/sign_in
• Rails API模式默认未开启Session存储，Devise基于Session的登录态识别失效
• destroy方法中未判断当前用户是否处于登录状态，且@user实例未赋值导致sign_out逻辑异常
• curl请求的参数格式错误，未传递合法的会话标识或身份参数

具体修复步骤 #

1. 开启Rails API的Session支持 #

   打开config/initializers/session_store.rb，添加如下配置：

   Rails.application.config.session_store :cookie_store, key: '_your_app_session'
   

   再打开config/application.rb，在Application类中加入Session中间件：

   config.middleware.use ActionDispatch::Cookies
   config.middleware.use ActionDispatch::Session::CookieStore
   

2. 修正SessionsController的destroy方法逻辑 #

   先判断当前是否存在登录用户，再执行登出逻辑，未登录时返回对应错误：

   def destroy
     if current_user
       session.delete(:user_id)
       sign_out(current_user)
       render json: { message: "signed out" }, status: :ok
     else
       render json: { error: "用户未登录" }, status: :unauthorized
     end
   end
   

   同时可以在控制器头部添加跳过CSRF校验的配置，适配API调用场景：

   skip_before_action :verify_authenticity_token
   

3. 修正请求发送规则 #

   • Postman请求：先发送POST请求到/users/sign_in完成登录，拿到响应的Cookie后，再发送DELETE请求到/users/sign_out，不需要在请求体传递邮箱密码参数
   • curl请求示例：

     # 先登录保存Cookie到文件
     curl -X POST -H "Content-Type: application/json" -d '{"user":{"email":"abc@abc.com","password":"abc@abc.com"}}' -c cookie.txt http://localhost:3000/users/sign_in
     # 携带Cookie发起登出请求
     curl -X DELETE -b cookie.txt http://localhost:3000/users/sign_out
     

内容的提问来源于stack exchange，提问作者smit