Devise：rememberable意味着last_sign_in_at没有被trackable更新

Question

我一直在使用 Devise，并依靠用户模型的 last_sign_in_at 来确定我的客户是否在 X 天内没有返回。然而，我最近发现，last_sign_in_at 仅在实际表单登录事件发生时更新，而不是在用户由于包含可记住而自动登录时更新。

如果想确保每次用户登录（新的浏览器会话）时都会更新last_sign_in_at，无论他们是使用表单登录还是通过可记住的cookie自动登录，我将如何在设计兼容的方式？

Answer 1

采用 Matthew 的解决方案，我认为代码应该如下（注意 session[:logged_signin] 之前的非运算符）：

before_filter :update_last_sign_in_at

protected

def update_last_sign_in_at
  if user_signed_in? && !session[:logged_signin]
    sign_in(current_user, :force => true)
    session[:logged_signin] = true
  end
end

Answer 2

可跟踪挂钩来自 Warden 的 after_set_user 挂钩 - - 为了轻松解决这个问题，您可以设置一个 before_filter 来调用 登录。

这可以优化，但测试一下使用是否

before_filter proc{ sign_in(current_user, :force => true) }

更新了last_signed_in_at时间戳。

Answer 3

设计：可记住意味着last_sign_in_at未通过 trackable 更新

扩展以前的解决方案，它们的问题是，如果用户正常登录，他们将“登录两次”。这会将 last_sign_in_at 设置为与 current_sign_in_at 相同（或几乎相同）的值。
在我的网站上，我使用 last_sign_in_at 让用户知道自上次访问该网站以来发生了什么，因此我需要它稍微准确。此外，它还会记录 +1 登录计数。

此外，有些人（像我一样）将浏览器窗口打开几天而不关闭它（因此从不清除会话标志）。出于度量目的等，如果此类用户行为有时会刷新 current_sign_in_at 时间，这可能会很有用。

下面的变体将解决这些问题。

class ApplicationController < ActionController::Base
  before_filter :update_sign_in_at_periodically
  UPDATE_LOGIN_PERIOD = 10.hours

  protected

  def update_sign_in_at_periodically
    if !session[:last_login_update_at] or session[:last_login_update_at] < UPDATE_LOGIN_PERIOD.ago
      session[:last_login_update_at] = Time.now
      sign_in(current_user, :force => true) if user_signed_in?
    end
  end
end

但是，当我使用 Devise 3.2.4 尝试上述操作时，当它通过 cookie 自动登录时（登录计数 +1 和 current_sign_in_at 设置），我确实获得了新的登录信息。因此，我只剩下一个问题，即希望跟踪定期更新，即使对于保持会话打开的用户也是如此。

class ApplicationController < ActionController::Base
  before_filter :update_sign_in_at_periodically
  UPDATE_LOGIN_PERIOD = 10.hours 

  protected 

  def update_sign_in_at_periodically
    # use session cookie to avoid hammering the database
    if !session[:last_login_update_at] or session[:last_login_update_at] < UPDATE_LOGIN_PERIOD.ago
      session[:last_login_update_at] = Time.now
      if user_signed_in? and current_user.current_sign_in_at < 1.minute.ago # prevents double logins
        sign_in(current_user, :force => true)
      end
    end
  end
end

Answer 4

在 application_controller 上，您可以设置一个 before_action 来检查当前用户的 current_sign_in_at 是否比 X 前更长。如果是，则使用 sign_in(current_user, force: true) 更新 current_sign_in_at。

before_action :update_last_sign_in_at

def update_last_sign_in_at
   return unless user_signed_in? && current_user.current_sign_in_at < 12.hours.ago
   sign_in(current_user, force: true)
end

我用它来检测不活动的用户（6 个月未登录）并删除它们。 #GDPR

Answer 5

AFAIK 您还可以在该 current_user 模型上使用 update_tracked_fields! 。