Rails 4中使用cookie_store时如何使特定用户会话失效？

嘿，我之前也折腾过Rails 4里CookieStore的会话失效问题，确实不像用Redis这类服务器端存储那样直接删会话就行，不过有几个实用的办法，我给你唠唠：

方法一：全局重置会话密钥（谨慎使用） #

如果你需要让所有用户的会话都失效（比如修复安全漏洞后），直接改会话密钥就行。打开config/initializers/session_store.rb，把原来的key值换掉，比如从_app_session改成_app_session_v2：

Rails.application.config.session_store :cookie_store, key: '_app_session_v2'

这样所有旧的会话Cookie都会因为密钥不匹配被服务器拒绝，用户必须重新登录。但注意，这是全局生效的，要是只想针对单个用户，别用这个。

方法二：跟踪用户会话令牌（针对特定用户） #

这是针对单个用户的最优方案，需要给用户记录加个字段来追踪有效会话：

1. 先给User模型加个current_session_token字段，跑个迁移：

   rails generate migration AddCurrentSessionTokenToUsers current_session_token:string
   rails db:migrate
   

2. 用户登录时，生成随机令牌并存到用户记录和会话里：

   # 比如在sessions#create动作里
   def create
     user = User.find_by(email: params[:email])
     if user&.authenticate(params[:password])
       session_token = SecureRandom.hex(32)
       user.update!(current_session_token: session_token)
       session[:session_token] = session_token
       # 其他登录后的逻辑，比如跳转首页
     end
   end
   

3. 在ApplicationController加个前置过滤器，每次请求都验证会话令牌和用户记录里的是否一致：

   # app/controllers/application_controller.rb
   before_action :validate_session_token
   
   private
   
   def validate_session_token
     return unless current_user
   
     if session[:session_token] != current_user.current_session_token
       reset_session
       redirect_to login_path, alert: '您的会话已失效，请重新登录'
     end
   end
   

4. 要让特定用户会话失效时，只需更新该用户的current_session_token就行：

   # 比如在管理员后台的动作里，或者控制台执行
   user = User.find(params[:id])
   user.update!(current_session_token: SecureRandom.hex(32))
   

   用户下次发起请求时，会话里的令牌和数据库里的不匹配，就会被强制登出。

方法三：利用Cookie过期时间（临时方案） #

这个没法主动触发，只能被动等Cookie到期。如果登录时设置了Cookie的过期时间，那到点会自动失效，但没法手动让特定用户的Cookie立刻失效。要是你能拿到用户的Cookie值（比如日志里），理论上可以生成新Cookie覆盖旧的，但实操起来不太现实，因为没法直接操作客户端的Cookie。

总的来说，因为CookieStore是无状态的，服务器本身不存会话数据，所以没法直接“删除”某个用户的会话，只能通过让服务器拒绝旧会话的方式实现。方法二是最常用的针对特定用户的解决方案，虽然多了个数据库字段，但逻辑清晰又可靠。

内容的提问来源于stack exchange，提问作者Juan