класс ActiveSupport::MessageEncryptor

MessageEncryptor — это простой способ шифрования значений, которые хранятся в недоверенном месте.

Текст шифра и вектор инициализации кодируются в base64 и возвращаются вам.

Это можно использовать в ситуациях, аналогичных MessageVerifier, но когда вы не хотите, чтобы пользователи могли определить значение полезной нагрузки.

len   = ActiveSupport::MessageEncryptor.key_len
salt  = SecureRandom.random_bytes(len)
key   = ActiveSupport::KeyGenerator.new('password').generate_key(salt, len) # => "\x89\xE0\x156\xAC..."
crypt = ActiveSupport::MessageEncryptor.new(key)                            # => #<ActiveSupport::MessageEncryptor ...>
encrypted_data = crypt.encrypt_and_sign('my secret data')                   # => "NlFBTTMwOUV5UlA1QlNEN2xkY2d6eThYWWh..."
crypt.decrypt_and_verify(encrypted_data)                                    # => "my secret data"

Ограничение сообщений определённой целью

По умолчанию любое сообщение может быть использовано в вашем приложении. Но их также можно ограничить определённой :purpose.

token = crypt.encrypt_and_sign("this is the chair", purpose: :login)

Затем ту же цель необходимо передать при проверке, чтобы получить данные обратно:

crypt.decrypt_and_verify(token, purpose: :login)    # => "this is the chair"
crypt.decrypt_and_verify(token, purpose: :shipping) # => nil
crypt.decrypt_and_verify(token)                     # => nil

Также, если у сообщения нет цели, оно не будет возвращено при проверке со специфической целью.

token = crypt.encrypt_and_sign("the conversation is lively")
crypt.decrypt_and_verify(token, purpose: :scare_tactics) # => nil
crypt.decrypt_and_verify(token)                          # => "the conversation is lively"

Установление срока действия сообщений

По умолчанию сообщения действуют вечно, и проверка их через год всё ещё вернёт исходное значение. Но сообщения можно установить на истечение срока действия в определённое время с помощью :expires_in или :expires_at.

crypt.encrypt_and_sign(parcel, expires_in: 1.month)
crypt.encrypt_and_sign(doowad, expires_at: Time.now.end_of_year)

Затем сообщения могут быть проверены и возвращены до истечения срока действия. После этого проверка возвращает nil.

Вращение ключей

MessageEncryptor также поддерживает вращение старых конфигураций, используя стек шифровальщиков. Вызовите rotate для создания и добавления шифровальщика, чтобы decrypt_and_verify также попробовал резервный вариант.

По умолчанию любые вращаемые шифровальщики используют значения первичного шифровальщика, если не указано иное.

Вы зададите новые значения по умолчанию для своего шифровальщика:

crypt = ActiveSupport::MessageEncryptor.new(@secret, cipher: "aes-256-gcm")

Затем постепенно замените старые значения, добавив их в качестве резервных. Любое сообщение, сгенерированное со старыми значениями, будет работать до тех пор, пока вращение не будет отменено.

crypt.rotate old_secret            # Fallback to an old secret instead of @secret.
crypt.rotate cipher: "aes-256-cbc" # Fallback to an old cipher instead of aes-256-gcm.

Хотя, если и секрет, и шифр были изменены одновременно, вышеперечисленное следует объединить в:

crypt.rotate old_secret, cipher: "aes-256-cbc"