在这种情况下，您最好的机会是访问has_secure_password 的源代码。您将在那里找到以下代码：
define_method("#{attribute}=") do |unencrypted_password|
if unencrypted_password.nil?
self.public_send("#{attribute}_digest=", nil)
elsif !unencrypted_password.empty?
instance_variable_set("@#{attribute}", unencrypted_password)
cost = ActiveModel::SecurePassword.min_cost ? BCrypt::Engine::MIN_COST : BCrypt::Engine.cost
self.public_send("#{attribute}_digest=", BCrypt::Password.create(unencrypted_password, cost: cost))
end
end
当您调用has_secure_password 时，此代码将创建设置器，其中attribute 是password。它将动态创建以下方法：
def password=(unencrypted_password)
if unencrypted_password.nil?
self.password_digest = nil
elsif !unencrypted_password.empty?
@password = unencrypted_password
cost = ActiveModel::SecurePassword.min_cost ? BCrypt::Engine::MIN_COST : BCrypt::Engine.cost
self.password_digest = BCrypt::Password.create(unencrypted_password, cost: cost))
end
end
当你为你的模型分配属性时，这个方法会被调用：
Current.user.update(password_params)
如您所见，新定义的方法包含带有两个分支的简单条件：
- 如果您将
password 设置为nil，它将删除password_digest
- 如果您将
password 设置为非空字符串，它会将密码哈希存储到password_digest 属性
就是这样。当您的用户发送空密码时，此方法决定不执行任何操作并忽略空字符串，它不会自动分配为空密码。模型几乎完全忽略了输入（如果password_confirmation 也是空的），没有任何内容被保存，没有违反验证，这意味着Current.user.update(password_params) 返回成功并且您的控制器继续“密码更新”。分支。
现在，当您知道这种行为后，您能做些什么呢？
假设你的模型看起来像这样
class User < ApplicationRecord
has_secure_password
validates :password, presence: true, length: { minimum: 5 }
end
并且您希望您的验证在两种情况下都有效
- 创建新用户时
- 当用户更新密码时
第一种情况很简单，正如您在问题中提到的，如果您使用allow_blank: true 而不是presence: true，则验证由has_secure_password 处理，如果密码为空，如果不是，则密码将继续验证。
但是比我们得到的其他要求：
- 用户必须能够更新其他属性，然后才能更新密码
- 如果密码更新，我们仍然希望验证密码
这两个要求排除了验证的presence: true 部分，它不可能存在。同样的事情也适用于allow_blank: true。在这种情况下，您可能想要使用条件验证：
class User < ApplicationRecord
has_secure_password
validates :password, length: { minimum: 5 }, if: :password_required?
private
def password_required?
password.present?
end
end
此代码确保每次用户填写密码时都会执行验证。不管是create 还是update 操作。
现在到最后一件事。
如果用户留下空密码怎么办。
根据您的问题，我想如果用户发送空密码，您想显示验证错误。从上面的描述User 模型根本不知道它应该验证密码。你必须告诉你的模型，例如。像这样：
class User < ApplicationRecord
has_secure_password
validates :password, length: { minimum: 5 }, if: :password_required?
def enforce_password_validation
@enforce_password_validation = true
end
private
def password_required?
@enforce_password_validation || password.present?
end
end
现在您可以在控制器中像这样使用它：
def update
user = Current.user
user.enforce_password_validation
if user.update(password_params)
redirect_to root_path, notice: "Password updated."
else
render :edit
end
end
private
def password_params
params.require(:user).permit(:password, :password_confirmation)
end
现在即使用户提交空密码，验证也会失败。