设计confirmation_token无效

我的用户.rb：

class User < ActiveRecord::Base

    devise :database_authenticatable, :registerable,:confirmable,:token_authenticatable,
     :recoverable, :rememberable, :trackable, :validatable, :authentication_keys => [:name]

我的路线：

devise_for :users, :controllers => { :sessions => "sessions", :confirmations => "confirmations", :passwords => "passwords", :registrations => "registrations" }

我的ConfirmationsController 是一个标准控制器，但具有不同的重定向。

我的电子邮件上有链接，例如：

/users/confirmation?confirmation_token=167bad44a15e02b0bd570b51e1bf927b88368d8855d92b9833a24017a2bad4be

在数据库中用户有

confirmation_token:167bad44a15e02b0bd570b51e1bf927b88368d8855d92b9833a24017a2bad4be

但是当我点击该链接时，我只看到包含以下内容的页面：

Resend confirmation instructions
 Confirmation token is invalid

我不做什么 - 我还必须设置什么。

确认控制器：

def resource_params
 params.require(:user).permit(:confirmation_token)
   end
   private :resource_params


  def show
self.resource = resource_class.confirm_by_token(params[:confirmation_token])

if resource.errors.empty?
  set_flash_message(:notice, :confirmed) if is_navigational_format?
  sign_in(resource_name, resource)
  session['new_user'] = true
  respond_with_navigational(resource){ redirect_to after_confirmation_path_for(resource_name, resource) }
else
  respond_with_navigational(resource.errors, :status => :unprocessable_entity){ render :new }
end
  end

  protected
    # The path used after resending confirmation instructions.
    def after_resending_confirmation_instructions_path_for(resource_name)
      new_registration_path(resource_name)
    end

我说“标准控制器”是因为当我删除它并且不使用自定义控制器时，问题是一样的。

您使用的是哪个版本的设备？如果你在3.1.0或更高，此行为是预期的：

变更日志.md https://github.com/plataformatec/devise/blob/master/CHANGELOG.md

存储在数据库中的令牌不应与您在确认电子邮件中发送的令牌相匹配。看设计/lib/devise/models/confirmable.rb https://github.com/plataformatec/devise/blob/master/lib/devise/models/confirmable.rb，现在包含以下内容：

def confirm_by_token(confirmation_token)
  original_token     = confirmation_token
  confirmation_token = Devise.token_generator.digest(self, :confirmation_token, confirmation_token)

  confirmable = find_or_initialize_with_error_by(:confirmation_token, confirmation_token)

正如您所看到的，您通过查询字符串参数传入的令牌由Devise.token_generator，该操作的结果是与数据库中的令牌进行比较以发现用户记录。

看起来暂时可以（在 3.1 中但不是 3.2 中）通过设置来关闭此功能

config.allow_insecure_token_lookup = true

在您的设备初始化程序中。但默认行为已更改，以使设备更加安全。看这篇博文 http://blog.plataformatec.com.br/2013/08/devise-3-1-now-with-more-secure-defaults/有关 devise 3.1 中安全改进（包括此更改）的完整概述。