attr_encrypted和devise，加密用戶數據與用戶密碼

Question

我使用the attr_encrypted gem，我也得到了設計安裝在我的環境。

我得到這個由色器件處理的用戶模型和數據庫列是： encrypted_pa​​ssword

用戶可以保存客戶和我要加密的客戶姓名和年齡與用戶的密碼。

我的client.rb文件如下所示： 這裏數據被成功加密。

class Client < ActiveRecord::Base 

    attr_accessor :name :age 
    attr_encrypted :name, :age, key: "test1234" 

但我想使用Users.password加密數據。 東西像這樣：

class Client < ActiveRecord::Base 

    attr_accessor :name :age 
    attr_encrypted :name, :age, key: current_user.encrypted_password 

的CURRENT_USER是設計輔助方法，但由於這是從一個會議上，我不能在模型訪問它。 基本上我想用用戶密碼加密所有客戶端的東西。 但是，如果我用encrypted_pa​​ssword來做這件事，那麼我已經得到了解密整個字段的密碼。 我想爲我的用戶提供安全性，我不想知道或能夠查看他們的數據。 所以唯一的方法是用prehashed devise users password加密所有數據？

編輯：

的user.encrypted_pa​​ssword已經哈希，每當我訪問DB - 我可以用它來解密所有數據嗎？

所以我應該要求用戶密碼 - >散列它像設計一樣 - 比較它與users.encrypted_pa​​ssword？

我在某處有邏輯錯誤嗎？

你會如何解決這個問題？

Answer 1

attr_encrypted提供了一種指定實例方法來提供密鑰的方法。

class Client < ActiveRecord::Base 
    attr_encrypted :name, :age, key: :client_key 

    def client_key 
    # just assuming relation between Client and User 
    self.user.encrypted_password 
    end 
end 

來源：https://github.com/attr-encrypted/attr_encrypted#symbols-representing-instance-methods-as-keys

Answer 2

當你使用設計，它使用bcrypt算法來加密你的密碼是一個單向加密

即這一過程是不可逆的，有沒有辦法從散走回密碼。 ，所以你可以使用該散列來加密整個數據。

但我的建議是使用bcrypt算法來加密數據，而不是使用用戶密碼，爲什麼我建議bcrypt，而不是使用您的密碼哈希加密您的數據

• 你將不得不重新 - 每當用戶 更改密碼時加密數據如果在任何情況下您都不這樣做，您不會 能夠將您的數據回收。
• 的塔頂將更加即每次重新加密上 密碼變化
• 的encrypted_pa​​ssword將被非常緊密地連接至所述用戶 數據的數據。我覺得用戶數據應該是獨立的，訪問與密碼 的並且應該有一個不同的獨立 使用數據加密這是不相關的用戶登錄或 密碼

您也可以參考：https://github.com/codahale/bcrypt-ruby