认证与授权

这一课你将能做到

1. 用 has_secure_password 实现注册/登录/登出，密码以 bcrypt 哈希存库
2. 用 Session + current_user + before_action 保护需要登录的页面
3. 区分认证与授权，用 Pundit 风格的所有权检查防止越权访问

为什么要学

认证（你是谁）和授权（你能干什么）是 Web 应用的安全地基，也是面试必考题。Rails 7.1 之后官方把「手写认证」变成了推荐路径——has_secure_password + Session 几十行代码就能搞定，比引入 Devise 黑盒更能让你理解每个环节。理解了手写版，再用任何 gem 都是在做配置而不是祈祷。

对比本站：Spring Boot 用 Spring Security + JWT，过滤器链配置繁重；Rails 全栈模式用服务端 Session + Cookie，天然免疫 JWT 的「无法主动失效」难题。两种方案的取舍正是本课的对照主线。

先建立图像

认证（Authentication）= 你是谁
  登录表单 → 验密码 → session[:user_id] = 5 → 之后每个请求带 Cookie
                                                    │
授权（Authorization）= 你能干什么                      ▼
  @article.user == current_user ? 可以编辑 : 403/重定向

登录后每个请求的识别过程：
浏览器 Cookie（加密签名）
   → Rails 解出 session[:user_id]
   → current_user = User.find_by(id: session[:user_id])
   → 控制器动作里可用

密码存储的本质：password_digest 字段存的是 bcrypt 哈希（带盐、慢速），即使库被拖，攻击者也几乎无法反推明文。

跟着做

步骤 1：User 模型与注册

bin/rails generate model User email:string:uniq password_digest:string name:string
bin/rails db:migrate

Gemfile 确认有（Rails 7 默认已带，取消注释即可）：

gem "bcrypt", "~> 3.1"

# app/models/user.rb
class User < ApplicationRecord
  has_secure_password
  validates :email, presence: true, uniqueness: true,
            format: { with: URI::MailTo::EMAIL_REGEXP }
  validates :name, presence: true
  normalizes :email, with: ->(e) { e.strip.downcase }
end

has_secure_password 一行带来：password/password_confirmation 虚拟属性、保存时自动 bcrypt 哈希写入 password_digest、authenticate 验证方法。

# console 验证
user = User.create(email: "a@b.com", name: "A", password: "secret123", password_confirmation: "secret123")
user.password_digest   # => "$2a$12$..." 哈希，不是明文
user.authenticate("wrong")       # => false
user.authenticate("secret123")   # => user 对象

步骤 2：Session 登录/登出

bin/rails generate controller Sessions new create destroy