Rails 3+Devise 3.0.3生产环境重置密码令牌被邮箱替换问题

哎，这个坑我之前帮朋友排查过类似的！结合你的代码和环境差异，核心问题应该是生产环境下reset_password_token的赋值逻辑被意外改写了，咱们一步步来定位：

最可能的几个原因&排查方案 #

1. 用户模型（User）的回调/重写方法搞的鬼 #

先去检查你的User模型，看看有没有以下几种情况：

• 重写了find_by_reset_password_token方法，错误地返回了邮箱字段而不是令牌；
• 存在before_validation/before_save这类回调，在某些条件下把reset_password_token赋值成了email（比如写了类似self.reset_password_token = email if reset_password_token.blank?的代码，生产环境可能触发了这个逻辑）；
• 不小心把reset_password_token和其他字段（比如email）的逻辑搞混了。

如果找到这类代码，要么删除要么调整触发条件，确保只有在重置密码流程的正确时机才修改令牌。

2. 验证Devise的参数传递是否正常 #

你可以临时在PasswordsController里重写edit方法，打印日志确认参数和资源的令牌值：

def edit
  # 生产环境建议用Rails.logger.info，避免控制台输出问题
  Rails.logger.info "=== 重置密码参数检查 ==="
  Rails.logger.info "URL传入的reset_password_token: #{params[:reset_password_token]}"
  
  self.resource = resource_class.new
  resource.reset_password_token = params[:reset_password_token]
  
  Rails.logger.info "Resource赋值后的reset_password_token: #{resource.reset_password_token}"
  super # 调用Devise默认的edit逻辑
end

部署到生产环境后，触发一次密码重置，查看日志：

• 如果URL传入的令牌是正确的，但赋值后变成了邮箱，那肯定是User模型的逻辑在捣乱；
• 如果URL传入的令牌本身就是邮箱，那要检查邮件模板的生成逻辑（不过你说邮件链接是对的，这种概率低）。

3. 生产环境缓存搞的鬼 #

Rails生产环境默认开启了视图缓存，如果之前的视图模板有错误（比如不小心把resource.email写到了隐藏域里），缓存会一直渲染旧值。

执行以下命令清除缓存，然后重启服务器：

rake tmp:cache:clear
touch tmp/restart.txt # 重启Passenger服务器，其他服务器对应重启命令

4. Devise配置或版本的兼容性问题 #

你用的Devise 3.0.3是比较老的版本，和Rails 3的生产环境配置可能存在一些隐性冲突：

• 检查config/initializers/devise.rb里有没有开启config.reset_password_within等相关配置，确保没有错误覆盖令牌逻辑；
• 确认User模型里有没有正确添加devise :recoverable模块（你开发环境正常，这个概率低，但还是确认下）。

临时修复方案 #

如果暂时找不到根源，可以直接在视图里手动传入令牌参数，跳过resource的赋值：

# 把原来的隐藏域代码改成直接用URL参数
= hidden_field_tag "#{resource_name}[reset_password_token]", params[:reset_password_token]

这样就能保证隐藏域的值和URL里的令牌一致，绕过resource可能被篡改的问题。

内容的提问来源于stack exchange，提问作者enjaku