deviseのlockableを使うときに意識しないといけないこと - Qiita

つまり config.unlock_strategyを:timeや:noneにするときはよく考えて バージョン Rails 6.1.0 devise 4.7.3 lockableについて deviseのlockableは、ログインに何回か失敗したらアカウントロックを行う、というもの。 注意すべきは、「ログインがロックされる」のではなく、「アカウントがロックされる」のだということ。 これは、アカウントロック中にアクセスしたログイン中セッションは、全て強制ログアウトされる動作になる。 これを利用して、次のようなイタズラをされると、結構困る。 ユーザAがdeviseを使ったwebサービスにログインしている 他人がユーザAのメールアドレスでログインしようとするが連続で失敗して、ユーザAのアカウントロックされる ユーザAがアカウントロック中にwebサービスにアクセスする ログアウトされて、ユーザAは