在 Rails 中创建唯一令牌的最佳方法？

Question

这是我正在使用的。令牌不一定要听才能猜测，它更像是一个短 URL 标识符，而不是其他任何东西，我想保持简短。我遵循了在网上找到的一些示例，并且在发生碰撞时，我认为下面的代码将重新创建令牌，但我不太确定。不过，我很想看到更好的建议，因为这感觉有点粗糙。

def self.create_token
    random_number = SecureRandom.hex(3)
    "1X#{random_number}"

    while Tracker.find_by_token("1X#{random_number}") != nil
      random_number = SecureRandom.hex(3)
      "1X#{random_number}"
    end
    "1X#{random_number}"
  end

我的令牌数据库列是一个唯一索引，我还在模型上使用 validates_uniqueness_of :token，但因为这些是根据用户在应用程序中的操作自动批量创建的（它们放置了本质上是订购并购买代币），让应用程序抛出错误是不可行的。

我想，为了减少冲突的机会，在末尾附加另一个字符串，根据时间生成的东西或类似的东西，但我不希望令牌变得太长。

Answer 1

Ryan Bates 在他的Railscast 测试版邀请中使用了一些不错的代码。这会生成 40 个字符的字母数字字符串。

Digest::SHA1.hexdigest([Time.now, rand].join)

Answer 2

这可能是一个较晚的响应，但为了避免使用循环，您也可以递归地调用该方法。对我来说，它看起来和感觉都稍微干净一些。

class ModelName < ActiveRecord::Base

  before_create :generate_token

  protected

  def generate_token
    self.token = SecureRandom.urlsafe_base64
    generate_token if ModelName.exists?(token: self.token)
  end

end

Answer 3

本文演示了一些非常巧妙的方法：

https://web.archive.org/web/20121026000606/http://blog.logeek.fr/2009/7/2/creating-small-unique-tokens-in-ruby

我最喜欢的列表是：

rand(36**8).to_s(36)
=> "uur0cj2h"

Answer 4

如果你想要一些独特的东西，你可以使用类似这样的东西：

string = (Digest::MD5.hexdigest "#{ActiveSupport::SecureRandom.hex(10)}-#{DateTime.now.to_s}")

但是这将生成 32 个字符的字符串。

然而还有其他方法：

require 'base64'

def after_create
update_attributes!(:token => Base64::encode64(id.to_s))
end

例如对于像 10000 这样的 id，生成的令牌将像“MTAwMDA=”（并且您可以轻松地解码它的 id，只需使

Base64::decode64(string)

Answer 5

这可能会有所帮助：

SecureRandom.base64(15).tr('+/=', '0aZ')

如果您想删除任何特殊字符，而不是放入第一个参数“+/=”，并将任何字符放入第二个参数“0aZ”，并且 15 是此处的长度。

如果您想删除多余的空格和换行符，请添加以下内容：

SecureRandom.base64(15).tr('+/=', '0aZ').strip.delete("\n")

希望这对任何人都有帮助。

Answer 6

尝试这种方式：

从 Ruby 1.9 开始，uuid 生成是内置的。使用 SecureRandom.uuid 函数。
在 Ruby 中生成指南

这对我很有帮助

Answer 7

你可以使用 has_secure_token https://github.com/robertomiranda/has_secure_token

使用起来非常简单

class User
  has_secure_token :token1, :token2
end

user = User.create
user.token1 => "44539a6a59835a4ee9d7b112b48cd76e"
user.token2 => "226dd46af6be78953bde1641622497a8"

Answer 8

创建正确的 mysql、varchar 32 GUID

SecureRandom.uuid.gsub('-','').upcase

Answer 9

Rails 7 具有此功能内置 。请参阅下面的示例：

# Schema: User(token:string, auth_token:string)
class User < ActiveRecord::Base
  has_secure_token
  has_secure_token :auth_token, length: 36
end

user = User.new
user.save
user.token # => "pX27zsMN2ViQKta1bGfLmVJE"
user.auth_token # => "tU9bLuZseefXQ4yQxQo8wjtBvsAfPc78os6R"
user.regenerate_token # => true
user.regenerate_auth_token # => true

Answer 10

def generate_token
    self.token = Digest::SHA1.hexdigest("--#{ BCrypt::Engine.generate_salt }--")
end

Answer 11

我认为令牌应该像密码一样处理。因此，它们应该在数据库中加密。

我正在做这样的事情来为模型生成一个独特的新令牌：

key = ActiveSupport::KeyGenerator
                .new(Devise.secret_key)
                .generate_key("put some random or the name of the key")

loop do
  raw = SecureRandom.urlsafe_base64(nil, false)
  enc = OpenSSL::HMAC.hexdigest('SHA256', key, raw)

  break [raw, enc] unless Model.exist?(token: enc)
end

Answer 12

-- 2022 年 EOY 更新 --

我回答这个问题已经有一段时间了。以至于我已经有七年没有看过这个答案了。我还看到许多依赖 Rails 来运行业务的组织中使用了这段代码。

说实话，这些天我不会认为我之前的解决方案，或者 Rails 如何实现它，是一个伟大的解决方案。它使用可以通过 PITA 进行调试的回调，本质上是悲观的