如何通过参数重写Devise确认后的重定向路径？

嘿，你已经把Devise的自定义密码确认流程跑起来了，这步做得很赞！要实现根据链接里的redirect_to参数跳转到定制页面，咱们可以分这几步来调整：

1. 安全捕获并验证redirect_to参数 #

首先要修改你现有的do_confirm方法，核心是从请求参数里拿到跳转目标，同时做安全校验——绝对不能直接跳转到用户传的任意URL，不然会有开放重定向漏洞。

把原来的代码改成这样：

def do_confirm
  @confirmable.confirm
  set_flash_message :notice, :confirmed
  
  # 提取并校验redirect_to参数
  target_path = params[:redirect_to]
  # 只允许本站内的相对路径（以/开头），其他情况 fallback到默认路径
  redirect_path = if target_path.present? && target_path.start_with?('/')
                    target_path
                  else
                    after_sign_in_path_for(resource_name, @confirmable)
                  end
  
  # 先登录用户，再手动跳转到目标路径
  sign_in(resource_name, @confirmable)
  redirect_to redirect_path, notice: flash[:notice]
end

2. 确保确认链接正确携带redirect_to参数 #

接下来要保证发送给用户的确认链接里包含编码后的redirect_to参数。比如在生成邮件链接的地方（比如自定义的Devise邮件模板或者用户创建逻辑里），这样生成链接：

# 用CGI.escape编码路径，避免特殊字符导致参数解析失败
custom_redirect_path = CGI.escape('/your-custom-page')
confirmation_link = confirmation_url(
  @user,
  confirmation_token: @user.confirmation_token,
  redirect_to: custom_redirect_path
)

这样生成的链接就会像你示例里那样：https://example.com/users/confirmation?confirmation_token=foo&redirect_to=%2Fyour-custom-page

3. 确认路由指向自定义控制器 #

别忘了确保你的Devise路由是指向你自定义的确认控制器，而不是默认的Devise控制器。在routes.rb里配置：

devise_for :users, controllers: { confirmations: 'users/confirmations' }

关键注意点 #

• 安全第一：一定要校验redirect_to参数是本站的相对路径（以/开头），禁止跳转到外部域名，避免被利用做钓鱼攻击。
• 编码处理：生成链接时必须用CGI.escape处理自定义路径，否则像/path?param=value这种带参数的路径会被截断。

这样调整后，用户设置完密码就会自动跳转到你指定的定制页面啦！

内容的提问来源于stack exchange，提问作者JohnSmith1976