Rails API如何加密URL内用户ID以保护日历接口并同步加密值至前端

• 第一步：新增用户日历token字段
  运行迁移生成命令：
  rails generate migration AddCalendarTokenToUsers calendar_token:string:uniq
  执行迁移rails db:migrate后，会在users表新增带唯一索引的calendar_token字段，用于存储随机串。
• 第二步：模型层自动生成token
  在User模型中加入创建前回调，自动生成唯一的随机十六进制串：

  before_create :generate_calendar_token
  
  private
  def generate_calendar_token
    # 生成16字节的十六进制随机串，碰撞概率极低
    self.calendar_token = SecureRandom.hex(16)
    # 避免极端情况的token重复，重复则重新生成
    while User.exists?(calendar_token: self.calendar_token)
      self.calendar_token = SecureRandom.hex(16)
    end
  end
  

• 第三步：调整路由规则
  修改config/routes.rb中的路由配置，将原路径的用户ID参数替换为calendar_token：

  get '/api/users/:calendar_token/calendar.ics', to: 'calendars#show', format: 'ics'
  

• 第四步：调整控制器查询逻辑
  将日历接口中原来按ID查询用户的逻辑，改为按calendar_token查询：

  # 原逻辑
  # @user = User.find(params[:id])
  # 新逻辑
  @user = User.find_by!(calendar_token: params[:calendar_token])
  

  可选优化：如果需要支持用户重置日历订阅链接，新增重置token的接口即可，重置时重新生成calendar_token即可让旧链接失效。

该方案本身不存在核心安全隐患，前提是users/:id接口已经做好了严格的Auth0身份校验，仅允许用户本人访问自己的用户信息接口，其他人无法拿到对应响应。
需要注意几个潜在风险点：

• 服务端日志要做好脱敏：如果你的接口响应会被全量打印到日志中，要将calendar_url字段加入脱敏规则，避免日志泄露后token被滥用。
• 前端存储要安全：前端不要将该URL存储到公开可访问的位置，若存储在localStorage等前端存储中，要做好XSS防护，避免XSS攻击窃取到日历订阅地址。
• 不要将calendar_url字段返回给其他非本人请求的响应中，比如管理员查询用户列表的接口不要返回该字段，避免扩大泄露范围。

可选优化：可以给calendar_token增加过期时间字段，定期强制刷新，或者给用户提供手动重置订阅链接的功能，即使token泄露也可以快速失效。

内容的提问来源于stack exchange，提问作者s89_