在发稿时设计清理会话？

Question

我已经安装了devise和基于omniauth的身份验证，并且在大多数情况下都可以正常工作。 登录后，我设置了current_user并使用before_filter :authenticate_user! 它的工作原理与预期的一样。 即使我（手动）转到其他站点，该会话仍会持续。 当我回到自己的站点时，我仍然登录。

尝试与支付网关提供商集成时遇到问题。

我将表单发布到付款网关，该网关完成其职责，然后通过表单发布将用户返回到我的站点。 当用户登陆我的网站时，Cookie会被清理，并且身份验证会丢失。 这意味着current_user现在为nil。

流程就像

Order - > Login -> Confirm -> PaymentGateway -> CallBack(MySite) 
   |                 ^
   | -- loggedin --  |
    -----------------

我使用Firefox的inspect进行了进一步调查，看起来cookie设置正确。 例如，我登录后，cookie是_session_id:f58b52e6c168178711ba66aa3ac9d637 ，当我从付款网关返回时，cookie（根据firefox）是_session_id:f58b52e6c168178711ba66aa3ac9d637 ..这会使我相信我将保持身份验证。 但是，当我打印current_user我得到零。

我也在控制器中打印cookie，它是正确的：

在我打印Cookie时的确认操作中，我得到

Cookies #<ActionDispatch::Cookies::CookieJar:0x000001017c33d0, @set_cookies={}, @delete_cookies={}, @host="localhost", @secure=true, @closed=false, @cookies={"_session_id"=>"f58b52e6c168178711ba66aa3ac9d637"}>

如果我打印Cookie，则在CallBack（MySite）页面中，我得到

Cookies #<ActionDispatch::Cookies::CookieJar:0x0000012b2225f0 @set_cookies={}, @delete_cookies={"remember_user_token"=>{:path=>"/"}}, @host="localhost", @secure=true, @closed=false, @cookies={"_session_id"=>"f58b52e6c168178711ba66aa3ac9d637"}>

我在这里想念什么。 为什么设计故意将我注销。 有没有办法可以保持登录状态？

编辑：

我也尝试过记住...这也行不通，并擦洗了cookie。

在我打印Cookie时的确认操作中，我得到

Cookies #<ActionDispatch::Cookies::CookieJar:0x0000012b286fc8 @secret="4ccae7dce24d26dcf98220fb1e54cacf412efe1bf7dc003e1e5315abf50f5c4ep9g6i62b8a9d83cf3501564c7bd70ca7722db85a46015652c3d7fa4f156d4d0b", @set_cookies={}, @delete_cookies={}, @host="localhost", @secure=true, @closed=false, @cookies={"_session_id"=>"f63c3165f807b15e4a4e7de4a615d012", "remember_user_token"=>"BAhbB1sGaQYiIiQyYSQxMCRxVGJoVzEydjJtQ1Y4dndUeTdJMVp1--099213f62d5e317d9f83e758ac5995395e63ce7f"}>

请注意， remember_user_token已设置

如果我打印Cookie，则在CallBack（MySite）页面中，我得到

#<ActionDispatch::Cookies::CookieJar:0x0000012b410100 @secret="4ccae7dce24d26dcf98220fb1e54cacf412efe1bf7dc003e1e5315abf50f5c4ep9g6i62b8a9d83cf3501564c7bd70ca7722db85a46015652c3d7fa4f156d4d0b", @set_cookies={}, @delete_cookies={"remember_user_token"=>{:path=>"/"}}, @host="localhost", @secure=true, @closed=false, @cookies={"_session_id"=>"f63c3165f807b15e4a4e7de4a615d012"}>

因此，之前的过滤器删除了remember_user_token cookie，在firefox的检查中，我可以确认两个cookie均已发送到站点和rails。

无论哪种方式，当传入操作是来自外部站点的帖子时，设计都会使我退出。 这是预期的行为，我可以更改吗？

Answer 1

您需要在外部网站发布时（或针对该特定操作）从伪造保护中禁用请求，否则，Rails针对CSRF攻击的保护机制将（正确）注销您。