生产环境Rails应用间歇性出现ActionController::InvalidAuthenticityToken错误

我之前处理过类似的Rails + Safari兼容性问题，结合你的技术栈（Ruby 2.4.2、Rails 5.1.4、Devise 4.3.0）和报错场景，大概率是Safari 11.0的Cookie处理机制或缓存特性导致的间歇性CSRF验证失败。以下是几个针对性的解决方案，按优先级排序：

1. 给Session和Devise Cookie添加SameSite属性 #

Safari 11.0对跨站Cookie的限制比较严格，而Rails 5.1默认没有配置SameSite属性，这可能导致Cookie在某些场景下无法正确传递。

• 修改config/initializers/session_store.rb：

Rails.application.config.session_store :cookie_store, 
  key: '_your_app_session', 
  same_site: :lax, 
  secure: Rails.env.production?

• 修改config/initializers/devise.rb，确保Devise的会话Cookie也配置SameSite：

config.session_store :cookie_store, 
  key: '_devise_session', 
  same_site: :lax, 
  secure: Rails.env.production?

注：:lax是平衡安全性和兼容性的最优选择，既可以防范CSRF攻击，又不会影响正常的页面跳转；如果你的应用有严格的跨站隔离需求，可以改用:strict，但可能会影响一些第三方跳转场景。

2. 定时刷新CSRF令牌，避免过期 #

如果用户长时间停留在表单页面（比如超过30分钟），Rails生成的CSRF令牌会过期，而Safari的缓存机制可能让页面无法自动获取新令牌。可以通过前端JS定时刷新令牌：

• 在表单所在的视图文件中添加这段JS：

// 每15分钟刷新一次CSRF令牌，避免过期
setInterval(function() {
  fetch('/csrf_token')
    .then(response => response.json())
    .then(data => {
      // 更新页面meta标签中的令牌
      document.querySelector('meta[name="csrf-token"]').content = data.authenticity_token;
      // 更新表单中的隐藏令牌字段
      document.querySelectorAll('input[name="authenticity_token"]').forEach(el => {
        el.value = data.authenticity_token;
      });
    });
}, 15 * 60 * 1000);

• 在application_controller.rb中添加令牌接口：

def csrf_token
  render json: { authenticity_token: form_authenticity_token }
end

• 在config/routes.rb中注册路由：

get '/csrf_token', to: 'application#csrf_token'

3. 添加异常处理，提升用户体验 #

针对已经触发的错误，可以在控制器中捕获异常，重置会话并引导用户重试，避免生硬的报错页面：

在你的Students::RegistrationsController中添加：

rescue_from ActionController::InvalidAuthenticityToken, with: :handle_invalid_csrf_token

private

def handle_invalid_csrf_token
  reset_session # 重置会话，生成新的CSRF令牌
  redirect_to request.referer || root_path, alert: '会话已过期，请重新尝试操作。'
end

4. 确认Heroku代理配置正确 #

Heroku的路由层会修改请求头，确保Rails能正确识别代理请求，避免Cookie传递异常。在config/environments/production.rb中添加：

# Rails 5.1+支持的写法，信任所有Heroku代理
config.action_dispatch.trusted_proxies = :all

5. 给受影响用户的临时建议 #

对于少数受影响的iPad用户，可以建议他们：

• 清除Safari的缓存和Cookie
• 关闭私有浏览模式后重试
• 如果可能，将Safari更新到最新版本（Safari 11.0的后续版本修复了不少Cookie相关的bug）

总结 #

优先尝试前两个方案（SameSite配置+定时刷新令牌），这两个改动对现有应用的侵入性小，且能覆盖绝大多数Safari 11.0的兼容性问题。如果问题仍然存在，可以结合异常处理和Heroku代理配置进一步排查。

内容的提问来源于stack exchange，提问作者ybakos