寻求适配Rails 5的devise_security_extension替代方案及合规依赖咨询

针对你碰到的这个棘手问题——要升级Rails版本但依赖的停更gem没法适配，还受限于公司规定不能用GitHub分支，我整理了几个完全符合要求的可行方案：

方案1：基于GitHub修复代码打包私有内部gem #

既然rubygems上的版本缺了最新修复，但GitHub上有分支能解决适配问题，你可以这么操作：

• 先克隆该gem的GitHub仓库，切换到包含Rails5适配修复的分支
• 基于原gem的0.10.0版本，把分支里的修复代码合并进去，调整gemspec文件里的依赖（比如把Rails版本限制改成支持5.1.x）
• 用gem build devise_security_extension.gemspec命令构建自己的gem包
• 上传这个定制版本到公司内部的Rubygems源（如果公司有搭建内部源的话），然后在项目的Gemfile里指定内部源和你打包的版本号

这样既用到了GitHub上的修复，又完全符合公司只能从Rubygems源加载依赖的规定。

方案2：手动移植gem功能到项目内部 #

如果公司没有内部源，或者不想额外维护私有gem，那可以把devise_security_extension的核心功能拆解出来，集成到项目里：

• 先梳理项目里实际用到的该gem功能（比如密码过期检测、会话超时、密码复杂度验证等）
• 把gem源码中对应这些功能的代码（比如模型回调、控制器钩子、验证器类）复制到项目的lib目录或者对应的模块中
• 针对Rails5的API变化做修改，比如把before_filter改成before_action，调整强参数的处理方式，适配Rails5的Devise回调机制
• 移除Gemfile里的原gem依赖，改用自己移植的代码

这个方案虽然需要花点时间梳理代码，但完全摆脱了对外部gem的依赖，后续维护也更可控。

方案3：替换为功能兼容的活跃维护gem #

还有个更省心的思路是找替代方案，换用支持Rails5且仍在维护的devise安全扩展gem：

• 比如可以调研devise-security（注意和原gem名字略有不同），它是维护活跃的分支，支持Rails5+，功能覆盖了原gem的大部分安全特性
• 先评估原项目用到的每个特性，确认替代gem都能支持，然后在测试环境引入替代gem，修改对应的配置和代码，验证功能正常后再上线

这样既能完成Rails版本升级，又不用自己维护私有代码，长期来看更省心。

内容的提问来源于stack exchange，提问作者mmsilviu