Rails4.2.4+Devise4.0.0重置密码提示token无效问题排查求助

背景环境 #

我当前使用的技术栈：

• Ruby on Rails 4.2.4
• Devise 4.0.0

相关依赖明细：

gem 'rails', '4.2.4'
devise (4.0.0)
  bcrypt (~> 3.0)
  orm_adapter (~> 0.1)
  railties (>= 4.1.0, < 5.1)
  responders
  warden (~> 1.2.3)

问题现象 #

接手他人代码后发现密码重置功能失效，复现步骤如下：

1. 控制台执行发送重置密码邮件命令：

   u = User.first
   u.send_reset_password_instructions
   

   控制台显示邮件已发送至testme@gmail.com，链接中的重置Token为：http://localhost:3000/users/password/edit?reset_password_token=qpkCBYwZzmqprudst1oq
2. 点击链接进入重置页面，输入新密码后提交，页面提示错误：

   1 error prohibited this user from being saved: Reset password token is invalid
   

3. 查看User数据库记录，发现存储的reset_password_token是哈希值："23837a8b05a8249ac4edf5e3e6b6e8f922277ef409e693cd802bc1707b0838b7"，这里大概率是误解——正常情况下请求参数应为明文Token，数据库存储的是哈希值。

问题原因分析 #

结合Devise 4.0.0的工作机制，可能的原因有以下几种：

1. Token哈希验证不匹配：Devise会将邮件中的明文Token哈希后与数据库存储的哈希值对比，如果两者不一致则报错。可能是Token生成或存储逻辑被篡改（比如模型重写了reset_password_token=方法、Devise配置被修改）。
2. 重置链接过期：Devise默认重置Token有效期为2小时，如果发送邮件后超过有效期才点击链接，会触发无效提示。
3. 重写的PasswordsController逻辑错误：自定义的控制器可能绕过了Devise原生的Token哈希验证逻辑，直接用明文Token查询数据库。

调试方法（验证Token有效性） #

1. 验证Token哈希是否匹配 #

在Rails控制台执行以下代码，对比明文Token的哈希值与数据库存储值：

# 获取目标用户
u = User.first
# 邮件链接中的明文Token
plain_token = "qpkCBYwZzmqprudst1oq"
# 用Devise原生逻辑生成哈希
generated_hash = Devise.token_generator.digest(User, :reset_password_token, plain_token)

# 打印对比结果
puts "生成的哈希值: #{generated_hash}"
puts "数据库存储的哈希值: #{u.reset_password_token}"
puts "是否匹配? #{generated_hash == u.reset_password_token}"

• 如果返回false，说明Token生成/存储逻辑被修改，需要排查模型或Devise配置。
• 如果返回true，则继续检查有效期。

2. 检查Token是否过期 #

执行以下代码验证重置链接是否超出有效期：

u = User.first
puts "重置邮件发送时间: #{u.reset_password_sent_at}"
puts "是否过期? #{u.reset_password_period_expired?}"

如果返回true，说明链接已过期，重新发送邮件即可。

解决方案 #

情况1：哈希值不匹配 #

• 检查User模型：确认是否重写了reset_password_token=方法，若有则确保是调用Devise的原生逻辑存储哈希值，而非明文。
• 检查Devise配置：打开config/initializers/devise.rb，确认config.token_generator未被修改为自定义实现（默认应为Devise::TokenGenerator）。
• 排查第三方代码：检查是否有其他Gem或自定义代码篡改了Devise的Token生成逻辑。

情况2：Token过期 #

• 延长有效期：在devise.rb中修改config.reset_password_within配置，例如：

  config.reset_password_within = 6.hours # 默认是2小时
  

• 重新发送重置邮件给用户。

情况3：自定义PasswordsController逻辑错误 #

确保自定义控制器正确继承自Devise::PasswordsController，且未手动修改Token查询逻辑。例如，不要直接使用：

# 错误示例：直接用明文Token查询
User.find_by_reset_password_token(params[:reset_password_token])

应让Devise自行处理Token哈希验证，保持原生逻辑。

如何重写Recoverable模块的reset_password_by_token方法 #

如果需要调试或修改reset_password_by_token方法，有两种常用方式：

方式1：在User模型中直接重写 #

class User < ActiveRecord::Base
  devise :database_authenticatable, :recoverable, :registerable, :validatable

  def self.reset_password_by_token(attributes)
    # 添加调试日志
    Rails.logger.debug "接收到的重置参数: #{attributes.inspect}"
    
    # 调用原方法并保留结果
    result = super
    
    # 输出调试信息
    Rails.logger.debug "重置操作结果: #{result.inspect}"
    Rails.logger.debug "错误信息（若有）: #{result.errors.full_messages}"
    
    result
  end
end

方式2：使用Concern模块覆盖 #

1. 创建自定义Concern文件：app/models/concerns/custom_recoverable.rb

module CustomRecoverable
  extend ActiveSupport::Concern

  module ClassMethods
    def reset_password_by_token(attributes)
      token = attributes[:reset_password_token]
      Rails.logger.debug "当前验证的Token: #{token}"
      
      # 调用原方法
      user = super(attributes)
      
      Rails.logger.debug "用户验证状态: #{user.valid? ? '有效' : '无效'}"
      user
    end
  end
end

2. 在User模型中引入该模块：

class User < ActiveRecord::Base
  devise :database_authenticatable, :recoverable, :registerable, :validatable
  include CustomRecoverable
end

修改后重启服务器，即可在日志中看到调试信息，或自定义方法逻辑。

内容的提问来源于stack exchange，提问作者Axil