Дмитрий Ротатый

не вращайте вокруг них эту отвертку со скоростью выше 1500 оборотов секунду и проблем не будет.

https://github.com/gonzalo-bulnes/simple_token_aut...
https://github.com/lynndylanhurley/devise_token_auth
Смотрели?

Вариантов, действительно не так много:
1. Единожды создавать сессию, которая истечет через какое-то время, для чего нужно сначала сделать отдельный запрос логин.
2. Слать\вычислять ключ в каждом запросе.

В принципе, вы все правильно описали, разве что с action: 'create_action' - это перебор. Вместо этого отправляйте запросы на соответствующие роуты.

Девайз тут не при чем. Это все строчка:
protect_from_forgery ...

Возникла задача - надо создать определенную сущность в базе данных с помощью скрипта.

Эта задача называется API. Для этого как раз и нужно

Одним из вариантов решения - было бы создание отдельного контролллера

API может быть публичным и приватным. Хотите что б все могли делать это действие? Тогда сделайте так экшн и оставьте как есть.
Нужно, что бы возможность была ограничена?
Используйте тот или иной способ генерации API key

Попробуйте вот так:

<%= form_for :home, :url => {:controller => 'input_page'} do |f| %>
   <%= f.submit('Перейти далее') %>
<% end %>