已通过Devise全局认证，如何保护Active Storage生成的路由？

这个问题确实很典型——Active Storage默认的文件访问路由是完全公开的，哪怕你在全局加了before_action :authenticate_user!，也不会自动覆盖它的内置控制器逻辑。下面是一套通用的解决方案，不管你用的是本地存储、S3还是其他存储服务都能生效：

步骤1：创建自定义的Active Storage控制器 #

首先，我们需要写一个继承自Active Storage内置控制器的自定义控制器，然后加上Devise的认证前置操作。在app/controllers/目录下新建secure_blobs_controller.rb：

class SecureBlobsController < ActiveStorage::Blobs::RedirectController
  # 加入Devise的认证前置操作，确保只有登录用户能访问文件
  before_action :authenticate_user!

  # 可选：如果需要更细粒度的权限控制（比如只有文件所属用户能访问），可以添加这个前置操作
  before_action :authorize_blob_access

  private

  def authorize_blob_access
    # 通过签名ID找到对应的Blob对象
    blob = ActiveStorage::Blob.find_signed(params[:signed_id])
    
    # 这里根据你的业务逻辑编写权限检查逻辑，举个实际例子：
    # 假设Blob关联到Post模型的document字段，只有Post的作者能访问该文件
    # post = Post.find_by(document: blob)
    # unless post&.user == current_user
    #   redirect_to root_path, alert: "你没有权限访问这个文件"
    # end
  end
end

步骤2：替换默认的Active Storage路由 #

接下来，我们需要在config/routes.rb里把默认的Active Storage路由替换成自定义控制器的路由。注意要先移除默认的rails_active_storage挂载（如果之前已经添加的话），再添加新路由：

Rails.application.routes.draw do
  # 你的其他业务路由...

  # 移除默认的Active Storage路由（如果routes文件里有这行的话）
  # mount ActiveStorage::Engine => "/rails/active_storage"

  # 自定义路由：处理原始文件的访问请求
  get "/rails/active_storage/blobs/:signed_id/*filename" => "secure_blobs#show", as: :secure_blob

  # 自定义路由：处理文件变体（比如图片缩略图）的访问请求
  get "/rails/active_storage/representations/:signed_blob_id/:variation_key/*filename" => "secure_blobs#show", as: :secure_representation
end

步骤3：更新视图中的URL生成方式 #

最后，你需要把视图里原来生成Active Storage文件URL的方法，替换成我们自定义的路由辅助方法：

• 原来的url_for(blob)或rails_blob_url(blob)，改成secure_blob_url(blob)
• 原来生成变体URL的url_for(blob.variant(resize: "100x100"))或rails_representation_url(blob.variant(...))，改成secure_representation_url(blob.variant(resize: "100x100"))

举个视图里的实际例子：

<!-- 原来的写法 -->
<%= image_tag @user.avatar.variant(resize: "200x200") %>

<!-- 修改后的写法 -->
<%= image_tag secure_representation_url(@user.avatar.variant(resize: "200x200")) %>

额外说明 #

如果你用的是云存储服务（比如AWS S3），还可以结合服务端的预签名URL功能，但上面的控制器方案是最通用的——不管你用什么存储后端，都能确保只有已认证用户（甚至是特定权限的用户）才能访问文件。

内容的提问来源于stack exchange，提问作者coding addicted