Rails使用Devise+JWT构建RESTFul API时POST文章返回401跳转登录问题

401错误与跳转登录的核心原因 #

你遇到的跳转登录、401返回是Devise默认适配网页端的配置导致的，加上代码细节错误共同触发，具体修复步骤如下：

• 首先修复Devise认证失败的响应逻辑，默认配置下API请求认证失败会触发网页重定向到登录页，你需要在config/initializers/devise.rb中添加JSON格式的失败响应配置：

config.navigational_formats = ['*/*', :html, :json]
config.warden do |manager|
  manager.failure_app = proc do |env|
    request = ActionDispatch::Request.new(env)
    if request.format.json?
      status = 401
      body = { error: 'Unauthorized' }.to_json
      headers = { 'Content-Type' => 'application/json' }
      [status, headers, [body]]
    else
      Devise::FailureApp.call(env)
    end
  end
end

• 检查Postman请求头必须同时携带两个参数，缺少Content-Type会让Devise把请求识别为普通网页请求，导致JWT校验不通过：
  • Authorization: Bearer <你的实际token>
  • Content-Type: application/json
• 修复ArticlesController的方法名错误：你定义的前置过滤器是before_action :set_todo，但实际写的私有方法是set_article，不存在的方法会抛出异常，间接触发认证拦截，把前置过滤器修改为before_action :set_article即可。
• 修复文章创建逻辑错误：你原来的代码先执行Article.create!再赋值user，由于belongs_to :user默认必填，创建时没有user_id会直接抛出校验错误，修改create方法为：

def create
  @article = current_user.articles.create!(article_params)
  json_response(@article, :created)
end

Devise + JWT 方案的长期适用性 #

• 该组合是生产环境验证过的成熟方案，并不存在资料不足的问题，核心是要调整Devise默认的网页端适配配置，关掉跳转、视图相关逻辑即可。Devise已经内置了密码加密、JWT吊销、账号安全校验等逻辑，比手写鉴权方案安全性更高，不需要自己重复实现安全逻辑。
• 无Devise的手写JWT方案虽然教程多，但大多只实现了基础的token签发校验，没有处理JWT吊销、密码重置、多端登录管控、安全风控等生产必备能力，后期迭代需要补大量代码，反而会增加维护成本。
• 长期来看如果你的业务需要完整的账号体系能力（密码找回、身份验证、第三方登录等），Devise的方案更优；如果业务非常轻量，只有极简的鉴权需求，没有其他账号相关功能规划，也可以选择更轻量的鉴权方案。

内容的提问来源于stack exchange，提问作者pedrofromperu