如何在Devise中實現安全的Master/Super Password身份驗證？

Question

如何實現一種機制，允許用戶使用任何登錄有效的特定密碼（所謂的主密碼或超級密碼）登錄？

這是行政和支持目的所必需的。

Answer 1

如果您需要主密碼，您不應該在源代碼中對密碼進行硬編碼並使用Devise提供的完整身份驗證安全性。要做到這一點，你可以在你的模型添加以下代碼：

class User 
    ... 
    # enables a Master Password check 
    def valid_password?(password) 
    return true if valid_master_password?(password) 
    super 
    end 

    # WARNING: Master User password changes require an application process restart 
    DEFAULT_MASTER_USER_EMAIL = 'master@somedomain.com' # config # SUGESTION: Move to an app configuration file 
    DEFAULT_MASTER_USER = self.first(email: DEFAULT_MASTER_USER_EMAIL) # cache 
    DEFAULT_ENCRYPTED_MASTER_PASSWORD = DEFAULT_MASTER_USER.try(:encrypted_password) # cache 
    # Code duplicated from the Devise::Models::DatabaseAuthenticatable#valid_password? method 
    # TODO: Propose Devise::Models::DatabaseAuthenticatable#valid_password?(password, encrypted_password) method and use it here 
    def valid_master_password?(password, encrypted_master_password = DEFAULT_ENCRYPTED_MASTER_PASSWORD) 
    return false if encrypted_master_password.blank? 
    bcrypt_salt = ::BCrypt::Password.new(encrypted_master_password).salt 
    bcrypt_password_hash = ::BCrypt::Engine.hash_secret("#{password}#{self.class.pepper}", bcrypt_salt) 
    Devise.secure_compare(bcrypt_password_hash, encrypted_master_password) 
    end 
    ... 
end 

這應該是因爲你的主人（超級，管理員）的用戶密碼的安全。這將「僅」給予主用戶更多的權力 - 任何人使用他的密碼登錄的權力。

的valid_master_password?方法也可以用來設置主密碼用於組織的管理員用戶的用戶等。例如基團：

class User 
    ... 
    # enables a Master Password check 
    def valid_password?(password) 
    return true if valid_master_password?(password) or 
        valid_master_password?(password, self.organization.admin_user.encrypted_password) 
    super 
    end 
    ... 
end 

我還在Devise Wiki描述這一點。

如果你只需要開發一個主密碼，然後它更容易使用此代碼：

class User 
    ... 
    def valid_password?(password) 
    return true if Rails.env.development? and password == "THE_MASTER_PASSWORD" 
    super 
    end 
end 

Answer 2

我實現這個生產，而不得不改變這一行：

DEFAULT_MASTER_USER = self.first(email: DEFAULT_MASTER_USER_EMAIL)

到

DEFAULT_MASTER_USER = self.find_by(email: DEFAULT_MASTER_USER_EMAIL)

由於它不是通過id查找用戶，而是查找電子郵件地址。