Question

我的Rails-app有一个带有“记住我”复选框的登录框。检查该框的用户即使在关闭浏览器后仍应保持登录状态。我通过在用户的会话中存储他们的id来跟踪用户是否登录。

但会话在Rails中实现为会话cookie，而不是持久性的。我可以使持久化：

class ApplicationController < ActionController::Base
  before_filter :update_session_expiration_date

  private

  def update_session_expiration_date
    options = ActionController::Base.session_options
    unless options[:session_expires]
      options[:session_expires] = 1.year.from_now
    end
  end
end

但这似乎是一种黑客攻击，这对于这种常见功能而言是令人惊讶的。还有更好的办法吗？

修改

Gareth的答案非常好，但我仍然希望熟悉Rails 2的人给出答案（因为它是独一无二的CookieSessionStore）。

Answer 1

你几乎肯定不会将会话cookie扩展为长期存在。

虽然没有专门处理rails this article，但需要花些时间来解释“记住我”的最佳做法。

总之，你应该：

向用户表添加一个额外的列以接受大的随机值
在客户端设置一个长期存在的cookie，它结合了用户ID和随机值
当新会话开始时，检查是否存在id / value cookie，并在新用户匹配时对其进行身份验证。

作者还建议使随机值无效并在每次登录时重置cookie。我个人不喜欢那样，因为你不能保持登录两台计算机上的网站。我倾向于确保我的密码更改功能也重置随机值，从而锁定其他机器上的会话。

作为最后一点，他提供的关于使某些功能（密码更改/电子邮件更改等）无法用于自动认证会话的建议值得关注，但在现实世界中很少见。

Answer 2

我花了一些时间思考这个并得出了一些结论。 Rails会话cookie默认是防篡改的，所以你真的不必担心在客户端修改cookie。

以下是我所做的：

会话cookie设置为长期（大约6个月）
会话商店内
- 设置为登录+ 24小时的'过期'日期
- 用户ID
- Authenticated = true所以我可以允许匿名用户sesssions（因为cookie篡改保护而没有危险）
我在Application Controller中添加了一个before_filter，用于检查会话的“expires on”部分。

当用户选中“记住我”框时，我只将会话[：expireson]日期设置为登录+ 2周。没有人可以窃取cookie并永远登录或伪装成另一个用户，因为rails会话cookie是防篡改的。