使用 API 密钥时如何跳过设计身份验证？

Question

我在我的应用程序中使用 Devise，并希望创建一个全局 API 密钥，无需登录即可访问任何人帐户的 JSON 数据。

例如，假设我的 API Key 是 1234，我有两个用户创建了两个不同的餐厅。

• 用户 1 - 餐厅 1 (/restaurants/1)
• 用户 2 - 餐厅 2 (/restaurants/2)

我打开了一个全新的浏览器，但没有登录任何东西，我输入了我的 URL .../restaurants/2.json?api_key=1234，我应该能够访问该餐厅的 JSON 数据，而无需以 用户身份登录2

最好的方法是什么？

我已关注Railscast #352 Securing an API，因此我可以通过传递 API 密钥来访问 JSON 内容，但我必须登录才能查看任何内容。

编辑 1：使用 CanCan

我应该提到我也在使用 CanCan 作为角色，但不确定在这种情况下它是否会起到任何作用（双关语不是有意的）。

编辑 2：使用 API 版本控制实现

我遵循了 Railscast #350 和 #352，它们教您如何创建 REST API 版本控制以及如何使用 API 密钥对其进行保护。

这是我的控制器/api/v1/restaurants/restaurants_controller.rb 的样子：

module Api
  module V1
    class RestaurantsController < ApplicationController
      before_filter :restrict_access

      respond_to :json

      def index
        respond_with Restaurant.all
      end

      def show
        respond_with Restaurant.find(params[:id])
      end

    private

      def restrict_access
        api_key = ApiKey.find_by_access_token(params[:api_key])
        head :unauthorized unless api_key        
      end
    end
  end
end

而我的application_controller.rb 中仍然有before_filter :authenticate_user! 代码。

解决方案

我首先关注Railscast #350 on REST API Versioning，并将我所有的 JSON API 调用移至/apps/api/v1/...

然后，按照 Steve Jorgensen 的以下解决方案，确保我的 API 模块继承自 ActionController::Base 而不是 ApplicationController，以便绕过 ApplicationController 中的 Devise 的 before_filter :authenticate_user! 代码。

所以，我的 Edit 2 代码看起来像这样：

module Api
  module V1
    class RestaurantsController < ApplicationController
    ...

到

module Api
  module V1
    #Replace 'ApplicationController' with 'ActionController::Base'
    class RestaurantsController < ActionController::Base
    ...

Answer 1

我知道这个问题已经有一段时间了，但我想我会再提供一个我过去使用过的选项

class Api::ApplicationController < ApplicationController

skip_before_filter :authenticate_user!

这假设您的 API 目录中有一个应用程序控制器，所有 api 控制器都从该控制器继承。如果没有，您可以将跳过放在每个控制器中。

Answer 2

您可以在 Controller 中使用 before_filter 执行此操作。

目前，您可能有类似的情况：

class SomeController < ApplicationController
  before_filter :authenticate_user!
end

您可以定义不同的方法（最好在 ApplicationController 中）而不是调用它

class ApplicationController < ActionController::Base
  before_filter :authenticate_or_token

  private
  def authenticate_or_token
    if params[:api_key] == 1234
      @current_user = User.new(:admin => true, :any => "other", :required => "fields")
      return current_user
    end
    authenticate_user!
  end

我建议使用更强大的身份验证方法，例如 OAuth，但这应该适用于简单的基于 1 键的身份验证。

Answer 3

没有人提到的一个选项是为 API 提供一组完全独立的控制器，这些控制器不继承自 ApplicationController。

我已经看到 API 控制器存在于 /app/controllers/api/v1/somethings.rb 等文件中并且可通过 /api/v1/somethings 等路由访问的模式。每个特定的 API 控制器都从继承自 ActionController::Base 的基本 API 控制器继承，因此不包括在 ApplicationController 上定义的任何过滤器。

Answer 4

Gazler 的替代方法是使用 except：

class ApplicationController < ActionController::Base
  before_filter :authenticate_user!, except: :some_json_method

  def some_json_method
    render :nothing unless params[:api_key] == '1234'

    render :json
  end
end

这样您就不会向密钥持有者打开整个应用程序（取决于您的需要，是否需要）。 如果您需要为密钥打开多个方法，您可能还可以使用类似的方法：

class ApplicationController < ActionController::Base
  JSON_METHODS = [method_1, method2]
  before_filter :authenticate_user!, except: JSON_METHODS
  before_filter :authenticate_token, only: JSON_METHODS

  private
  def authenticate_token
    params[:api_key] == '1234'
  end
end