ActiveStorage Dashboard 中 Blob 数量显示异常问题解析

ActiveStorage Dashboard 中 Blob 数量显示异常问题解析

在 Rails 项目中，ActiveStorage Dashboard 是一个用于监控和管理 ActiveStorage 资源的实用工具。然而，最近有开发者反馈在 Dashboard 中出现了 Blob 数量显示为 0 的问题，而实际上数据库中存储着大量文件记录。

问题现象

开发者在使用 Rails 8.0.2 和 Ruby 3.4.1 的环境中，发现 Dashboard 界面显示 Blob、Variant 和 Attachment 数量均为 0，但通过直接查询数据库确认实际存储了约 30,000 个 Blob 对象，总大小约为 879MB。

排查过程

初步验证

首先通过 Rails 控制台执行基础查询确认数据确实存在：

ActiveStorage::Blob.count # 返回 426,323

深入检查

进一步执行了多项检查来确认数据库状态：

1. 确认表存在性
2. 检查是否有异常的作用域限制
3. 全面统计各相关模型的数量和大小

检查结果显示所有数据都正常存在于数据库中，且没有任何异常的作用域限制。

前端排查

通过检查页面HTML源码发现，统计卡片中实际包含了正确的数值（314,496），但页面显示为0。进一步检查浏览器控制台发现存在内容安全策略（CSP）错误：

Refused to execute inline script because it violates Content Security Policy directive

问题根源

问题的根本原因在于 Dashboard 使用了内联 JavaScript 来实现数字动画效果，而现代 Rails 应用默认启用了严格的内容安全策略（CSP），阻止了未经明确允许的内联脚本执行。

解决方案

开发者提供了三种可能的解决方案：

1. 放宽 CSP 策略：在 content_security_policy.rb 配置中添加 :unsafe_inline 选项，允许内联脚本执行。

2. 使用 nonce：为内联脚本添加 nonce 属性，使其符合 CSP 要求：

<%= javascript_tag nonce: true do -%>
  // 动画脚本代码
<% end -%>

3. 简化前端实现：移除数字动画效果，直接显示统计数值，这是最安全的方案，但会牺牲部分用户体验。

最佳实践建议

1. CSP 安全策略：在生产环境中应尽可能保持严格的内容安全策略，避免使用 unsafe-inline。

2. 前端实现选择：对于管理后台类应用，可以考虑：

   • 使用外部 JavaScript 文件
   • 实现基于 CSS 的动画效果
   • 采用更安全的动态加载方式

3. 兼容性考虑：工具类 gem 应该考虑到不同安全级别的部署环境，提供灵活的配置选项。

总结

这个问题展示了现代 Web 开发中安全策略与功能实现之间的平衡问题。通过这次排查，我们不仅解决了显示异常，也深入理解了 Rails 内容安全策略的工作机制。对于开发者而言，理解并合理配置 CSP 是构建安全 Web 应用的重要一环。