ruby-on-rails - 将 rails web 应用程序的用户 session 与用于移动应用程序的 rails API 的授权 token 结合使用。

Question

我已经构建了一个带有自己端点的 Web 应用程序。我正在使用设计来进行用户注册/登录/注销，基本上与用户相关的任何事情都在使用 session cookie。在同一个应用程序中，我的 Rails API 有单独的端点(用于其移动应用程序对应部分)。此 API 使用授权 token (并覆盖某些 Devise 方法，如 current_user)以允许访问特定用户模型。

如果我在我们的网站上处理用户 session cookie 但在移动应用程序上使用授权 token ，这会给我带来问题吗？我最担心的是安全问题，因为我们要处理信用卡信息。这个想法是不在移动应用程序上使用用户 session cookie，但保持 Web 应用程序不变。

我问这个问题的原因是，如果我让 Web 应用程序通过我们的 Rails API 端点，我在“登录”我们的 Web 应用程序时遇到了一些麻烦。我不确定如何安全地将授权 token 从一个页面传送到另一个页面，因此我不会让用户每次都登录。

我希望我解释它的方式不会太困惑。

Answer 1

如何为您的 Api 命名空间禁用 cookie？例如，如果您使用的是 BaseController.rb，您可以添加:

class Api::V1::BaseController < ApplicationController
  protect_from_forgery with: :null_session

  before_action :destroy_session

  def destroy_session
    request.session_options[:skip] = true
  end
end