基于多Devise模型的Actioncable认证及私密聊天权限问题

嘿，我完全懂你现在的困境——基于Client和Professionnel两个Devise模型做聊天功能，虽然前端展示正常，但所有用户都能收到所有人的消息，连私密对话都能通过AJAX请求拿到，这明显是单一全局频道没有做会话隔离导致的问题！结合你提到的多订阅思路，咱们可以一步步把这个问题解决：

1. 给每个对话生成唯一的房间标识 #

首先得给每一组Client和Professionnel的对话分配唯一的房间ID，避免不同对话的消息串流。比如可以用两个用户ID的有序组合（确保小ID在前，避免重复生成不同ID）：

# 可以在Conversation模型里添加生成房间ID的方法
class Conversation < ApplicationRecord
  belongs_to :client
  belongs_to :professionnel

  def room_id
    [client_id, professionnel_id].sort.join('_')
  end
end

2. 改造Action Cable频道，实现动态订阅 #

接下来修改你的频道代码，让用户只能订阅和自己相关的对话房间，而不是全局频道：

class ChatChannel < ApplicationCable::Channel
  def subscribed
    # 根据当前用户类型，获取所有属于他的对话房间ID
    if current_client.present?
      room_ids = current_client.conversations.map(&:room_id)
    elsif current_professionnel.present?
      room_ids = current_professionnel.conversations.map(&:room_id)
    end

    # 逐个订阅这些房间
    room_ids.each { |id| stream_from "chat_room_#{id}" }
  end

  def receive(data)
    # 发送消息时，只广播到目标房间
    ActionCable.server.broadcast "chat_room_#{data['room_id']}", 
      message: data['message'],
      sender: current_user.name # 可选：带上发送者信息
  end
end

3. 前端只订阅当前用户的对话房间 #

在前端JS里，确保用户只订阅自己参与的对话房间，比如从页面获取预加载的房间ID列表：

// app/assets/javascripts/channels/chat.js
document.addEventListener('DOMContentLoaded', function() {
  // 从页面元素获取当前用户的对话房间ID列表（比如通过data属性）
  const roomIds = JSON.parse(document.getElementById('user-chat-rooms').dataset.ids);

  roomIds.forEach(roomId => {
    // 为每个房间创建独立的订阅
    App.cable.subscriptions.create(
      { channel: 'ChatChannel', room_id: roomId },
      {
        received: function(data) {
          // 把消息渲染到对应的聊天窗口
          const chatWindow = document.getElementById(`chat-window-${roomId}`);
          if (chatWindow) {
            chatWindow.innerHTML += `<div class="message"><strong>${data.sender}:</strong> ${data.message}</div>`;
          }
        }
      }
    );
  });
});

4. 发送消息时指定目标房间 #

用户发送消息时，一定要把对应的房间ID一起传给后端，确保消息只推给该房间的参与者：

// 示例：发送消息的函数
function sendChatMessage(roomId, messageContent) {
  // 找到对应房间的订阅实例（或者直接调用send方法）
  const subscription = App.cable.subscriptions.find(sub => sub.roomId === roomId);
  if (subscription) {
    subscription.send({
      room_id: roomId,
      message: messageContent
    });
  }
}

重要的权限验证环节 #

别忘加权限验证！在频道的subscribed和receive方法里，要确认当前用户确实有权限访问该房间，防止恶意用户订阅他人对话：

# 在ChatChannel里添加验证逻辑
def subscribed
  room_id = params[:room_id]
  # 检查当前用户是否属于该房间对应的对话
  conversation = Conversation.find_by(room_id: room_id)
  if conversation && (conversation.client_id == current_client&.id || conversation.professionnel_id == current_professionnel&.id)
    stream_from "chat_room_#{room_id}"
  else
    reject_unauthorized_connection
  end
end

另外，要确保Action Cable能正确识别多Devise模型的用户，需要在ApplicationCable::Connection里配置：

module ApplicationCable
  class Connection < ActionCable::Connection::Base
    identified_by :current_user

    def connect
      self.current_user = find_verified_user
    end

    private
      def find_verified_user
        # 优先获取Client或Professionnel用户
        if client = env['warden'].user(:client)
          client
        elsif professionnel = env['warden'].user(:professionnel)
          professionnel
        else
          reject_unauthorized_connection
        end
      end
  end

这样改造后，每个用户只会收到自己参与的对话消息，私密内容就不会泄露啦！

内容的提问来源于stack exchange，提问作者Maxence