パスワード変更後にすべてのユーザーセッションを終了する

Question

ユーザーがパスワードを更新するときに、電話や別のブラウザなどのセッションをすべて無効にして、現在のデバイスに新しいセッションを1つ与えたいとします。 私はちょうど sign_out @user; sign_in @userを呼び出すとうまくいくようですが、うまくいくようです。

しかし、Devise＃sign_outおよびWarden＃logoutメソッドの実際の実装を除いて、この主張をサポートするドキュメントは見つかりません。

文書化された解決策はありますか？

ありがとうございました！

Answer 1

Railsで新しいセッションを作成するには、reset_sessionを使用します。

In Railsセッションでは、セッション識別子が使用されます。セッション識別子は、サーバーおよびクライアントによってCookieとして保存されます。 reset_sessionは、（現在のユーザーの）識別子をサーバーから削除し、新しい識別子を発行します。既存のセッションストレージクッキーは、サーバーによって受け入れられず、sessionにデシリアライズされません。

the Rails guide article on securityは、セッションが実際にRailsでどのように動作するかについて、かなり良い説明があるので、私は読むことをお勧めします。