更高的版本是不是就没有问题？

可以发个简历到邮箱。

在 ApplicationController 中：

before_action :xxoo

def xxoo
  @list_hs = ...
end

用 iconv 转换一下，转成 GBK Iconv.conv('gbk//IGNORE', 'utf-8', ....)

怪不得刚刚 Could not fetch specs from https://gems.ruby-china.org/

貌似用同样的密钥，跟 Google Authenticator 算出来不一样，怎么回事喃。。。

我们是这样搞的：

1、APP和服务器接口先约定好一个密钥；
2、登录之后服务器接口返回一个Token；
3、APP在之后需要验证的请求中都要加上这个Token，以及进行签名。

签名方式其实跟很多支付接口一样，把所有的参数加上约定好的密钥进行Sha1或者MD5加密，得到签名字符串，传到服务器接口后再进行验证。

安全问题：
我们会在参数里边加一个timestamp字段，获取当前的时间戳，类似：1485159939.454，一并放进参数列表并签名。
服务器接口会检测时间戳不能误差超出2分钟，然后会在REDIS里边记录这个时间戳（2分钟后自动删除），用来判断重复请求。
这样就算不是https，被抓包了，重复请求就会报错。

仅供参考。

我们现在就是两套，但是又觉得维护起来麻烦，在 Web 写了，又要 Copy 到 API 里边，很麻烦。 真的想合二为一。

#12 楼 @hemengzhi88 因为有个模块是用 Python 写的算法，如果会 Python 的话，可以顺便一起帮维护了。

#11 楼 @catherine 那确实有点远。不过搞 IT 的一般都在软件园附近。