Rails Devise 解决密码更新时新密码为空却误报更新成功的问题

问题根因 #

• Devise 内置的update_with_password方法默认行为是：当检测到传入的新密码字段为空白值时，会自动跳过密码属性的更新，不会触发模型层的非空校验。
• 只要当前密码验证通过，整个更新操作就会返回成功状态，哪怕实际没有对用户信息做任何变更，就会出现“输入正确旧密码+空新密码也提示更新成功”的异常。
• 代码中重写的update_resource方法，是服务于Devise默认的资料更新流程（修改姓名、联系方式等无需旧密码的场景），和密码修改逻辑无直接冲突，但会让大家对整个更新链路的调用关系产生混淆。

规范实现方案 #

1. 模型层补全密码场景的专属校验 #

按照Rails分层规范，数据合法性校验下沉到模型层，不写冗余的控制器分支判断。针对“单独修改密码时必须传入有效新密码”的规则，加条件触发的校验：

# app/models/user.rb
class User < ApplicationRecord
  # 新增虚拟属性，用来标记是否为密码修改场景，数据不会存入数据库
  attr_accessor :updating_password

  # ... 其他原有模型代码

  # 仅在密码修改场景下触发密码规则校验
  validates :password,
            presence: true,
            length: { minimum: 6 },
            confirmation: true,
            if: :updating_password?

  # 校验触发判断
  def updating_password?
    updating_password == true
  end
end

2. 修正控制器的密码修改逻辑 #

删掉临时方案里手动判断密码是否为空的冗余分支，通过模型标记触发统一校验，修正后的update_password action：

def update_password
  # 取经过参数白名单过滤后的更新参数
  permitted_params = devise_parameter_sanitizer.sanitize(:account_update)
  # 给当前用户打上“正在修改密码”的标记，触发模型层的密码校验
  current_user.updating_password = true

  if current_user.update_with_password(permitted_params)
    # 密码更新成功后绕过二次验证直接登录
    sign_in(current_user, bypass: true)
    redirect_to settings_path, notice: "密码更新成功"
  else
    # 校验失败直接返回模型生成的统一错误信息
    redirect_to settings_path, alert: current_user.errors.full_messages.to_sentence
  end
end

注：你之前写的update_resource重写逻辑可以完全保留，它是服务于Devise默认的资料更新流程的，和独立的密码修改action调用链完全隔离，不会互相干扰。

3. 补全Devise的参数白名单配置 #

放开密码修改需要的字段权限，避免参数过滤的隐性bug：

def configure_permitted_parameters
  devise_parameter_sanitizer.permit(:account_update, keys: [
    :first_name,
    :last_name,
    :current_password,
    :password,
    :password_confirmation
  ])
end

方案优势 #

• 校验逻辑兜底：所有密码更新的合法性判断都在模型层完成，不会因为控制器漏写参数判断就出现空密码也提示成功的问题
• 无冗余分支：不需要在控制器里手动判断密码是否为空，只要模型校验不通过，update_with_password就会直接返回false，走错误分支
• 提示统一：不管是密码为空、长度不达标、两次输入不一致、旧密码验证失败，都会返回统一格式的错误提示，不会出现临时方案里错误提示逻辑割裂的问题
• 完全兼容Devise原生的方法调用，不需要改动Devise的核心逻辑

内容的提问来源于stack exchange，提问作者user984621