Rails

セッションの仕組みを利用して、deviseを使わずにログイン機能を実装してみた

  /
3+
 railsの便利なgemの1つであるdevise
「ログイン機能＝devise」みたいになっていたので、deviseを使わずにログイン機能の実装ってどうするんだろう？と思い、調べて実装してみました！

実装イメージ図

手順①サインアップ機能を実装する

BCryptのgemをインストール

BCryptとは、パスワードをハッシュ化するための関数を提供するgemで、Railsアプリケーションを作成した時にGemfileにコメントアウトされた状態で記述されている。このコメントアウトを外してインストールすることで、2つのメソッドを使うことができるようになる

①has_secure_passwordメソッド
・セキュアにハッシュ化した不可逆なパスワードを、データベース内のpassword_digestの属性に保存できるようになる。
・passwordとpassword_confirmationを使えるようになる。（これらはDBではなく、メモリに保存される）
※注意※
userモデル内にpassword_digest属性（カラム）を追加していること

②authenticateメソッド
・引数の文字列がパスワードと一致するとそれに紐づくUserオブジェクトを、一致しなければfalseを返すメソッド。

Userモデルとテーブルを作成

Ruby
1
2
3
4
5
6
7
8
9
10
11
class CreateUsers < ActiveRecord::Migration[5.2]
　　def change
　　　　create_table :users do |t|
　　　　　　t.string :username, null: false
　　　　　　t.string :email, null: false
　　　　　　t.string :password_digest
　　　　　　t.timestamps
　　　　end
　　end
end

Ruby
1
2
3
4
5
6
7
8
9
10
11
class User < ApplicationRecord
　　before_save { self.email = email.downcase }　#DB保存前に小文字に変換
 
　　validates :username,presence: true
　　validates :email,
　　　  　　　　 presence: true,
  　  　　　    uniqueness: { case_sensitive: false },　#大文字・小文字の区別なし
　　　　       format: { with: /\A[\w+\-.]+@[a-z\d\-.]+\.[a-z]+\z/i } #「/i」は大文字・小文字を区別せずにマッチングさせる正規表現
 
　　has_secure_password
end

Emailのバリデーションについて

メールアドレスはgmailやyahooでは大文字でも登録できるが、携帯キャリアでは登録できない。これはメールサーバーに依存する問題。gmailやyahooだと小文字のアドレスを大文字に変換してもメールを送れるし、受信できるので基本的には大文字・小文字を区別していない仕様になっている。大文字・小文字を区別していない仕様なのであれば、一般的な小文字にフォーマットを統一してDBに保存した方が綺麗だと思ったので、今回のような仕様にしています。

コラム：なぜパスワードを平文でDBに保存してはいけないのか？

なぜ、has_secure_passwordメソッドを使って、セキュアにハッシュ化した不可逆なパスワードを、データベース内のpassword_digestの属性に保存させる必要があるのか？
逆に言うと、なぜパスワードを平文でDBに保存していけないのか？
理由は大きく2点

①会社内部とはいえ、平文だとユーザーのパスワードを簡単に社内の人間が見ることができるので、ヒューマンエラーによって情報漏洩する可能性がある（同じ問題かどうかは別として、ベネッセの個人情報漏洩は似てるかも）

②外部からの不正アクセスにより、万が一情報漏洩があった際に、ユーザー名とパスワードが一緒に漏洩することで二次被害も招くリスクが高くから
②の二次被害で起こると考えられる被害は2つ

①漏洩したユーザー名とパスワードを使って、そのWebサービスに不正ログインされることによる二次被害。例えば、Dropboxのようなサービスだったら、そこに保存してあるデータが全て第三者の手に渡ってしまう恐れがある。

②漏洩したユーザー名とパスワードを使って、別のWebサービスに不正ログインされることによる二次被害。利用者が複数のWebサービスで同じパスワードを使い回していることはよくあることあので、別のWebサービスの情報漏洩等、さらに被害が大きくなる可能性がある。
https://www.atmarkit.co.jp/ait/articles/1902/08/news022.html
パスワードを平文で保存してしまったがために、大きな二次被害を生んでしまうリスクを孕む事件として話題になったのが、「宅ふぁいる便」への不正アクセスによる480万件のユーザー情報流出事件がある。https://www.deep-rain.com/web/security-web/103

手順②Usersコントローラーの作成

最低限必要になるのは、Userの作成（登録）とsignupの画面だけなので、「new」「create」だけ作っておく。追加したければ後で追加すれば良い。

Ruby
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
class UsersController < ApplicationController
　　def new
　　  @user = User.new
　  end
 
  def create
    @user = User.new(user_params)
    if @user.save
      redirect_to root_path
　　 else
      render action: "new"
　　 end
　end
 
　　private
 
　　def user_params
　　  params.require(:user).permit(:username, :email, :password, :password_confirmation)
　 end
end

手順③ユーザー登録フォーム（signup）の作成

Ruby
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# app/views/users/new.html.erb
 
<h1>ユーザー登録</h1>
<%= form_for @user do |f| %>
<%= render 'layouts/error_messages', model: f.object %>
  <div class="form-group">
    <%= f.label :username, 'ユーザー名' %>
    <%= f.text_field :username, class: 'form-control' %>
  </div>
  <div class="form-group">
    <%= f.label :email, 'メールアドレス' %>
    <%= f.text_field :email, class: 'form-control' %>
  </div>
  <div class="form-group">
    <%= f.label :password, 'パスワード' %>
    <%= f.password_field :password, class: 'form-control' %>
  </div>
  <div class="form-group">
    <%= f.label :password_confirmation, 'パスワード（確認）' %>
    <%= f.password_field :password_confirmation, class: 'form-control' %>
  </div>
  <%= f.submit '作成', class: 'btn btn-primary' %>
<% end %>

これで簡単なユーザー登録機能が完成！！
ここからいよいよ、ログイン機能の実装です！！

手順④sessionsコントローラーの作成（コントローラー名は何でもOK）

アクションはnew/create/destroyの3つだけ作成
■new：ログインページ（フォーム）を表示
■create：ログインを完了
■destroy：セッションを破棄（ログアウト）
⇒viewが必要なのはnewだけ

手順⑤ルーティングを編集

Ruby
1
2
3
4
5
6
7
8
9
10
11
Rails.application.routes.draw do
　　get 'login' => 'sessions#new'
　　post 'login' =>'sessions#create'
　　delete 'logout' => 'sessions#destroy'
 
　　get 'signup' => 'users#new'
 
   # For details on the DSL available within this file, see http://guides.rubyonrails.org/routing    .html
　　resources :users, only: [:create]
 
end

手順⑥ログインフォームの作成

Ruby
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
<h1>ログイン</h1>
<div class="login-container">
  <div class="login-form">
  <%= form_for(:session, url: login_path) do |f| %>
    <% if flash[:error_messages] %>
    <div class="alert alert-danger">
     <ul>
      <% flash[:error_messages].each do |msg| %>
       <li><%= msg %></li>
　　　 <% end %>
　　　</ul>
　　<div>
　  <% end %>
　　<%= f.label :email %>
　　<%= f.email_field :email, class: 'form-control' %>
　　<%= f.label :password %>
　　<%= f.password_field :password, class: 'form-control' %>
　　<%= f.submit "ログイン", class: "btn btn-primary" %>
　　<% end %>
　　<p>まだユーザー登録がお済みでない方はこちら <%= link_to "新規登録", signup_path %></p>
　</div>
</div>

※セッションのフォームはユーザーの登録フォームと違って、ｍodelがない。つまり、@userのようなインスタンス変数に相当するものがないので、リソースの名前とそれに対応するURLを具体的に指定する必要がある。

手順⑦sessionsコントローラーにユーザーの検証・認証機能を記述

Ruby
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
class SessionsController < ApplicationController
  def new
  end
  def create
    user = User.find_by(email: params[:session][:email].downcase)
　　　 #セッション情報に含まれているメールアドレスをもとに、Usersテーブルに保存されているUserオブジェクトを抽出
 
    if user && user.authenticate(params[:session][:password])
　　　 # Userオブジェクトが抽出できる（つまり、Usersテーブルに存在している）かつ（&&）
　　　 # paramsで送られてきたセッションの中のパスワード（ハッシュ化されている）が
      # DB内のハッシュ化されたpassword_digestカラムの値と一致しているかどうか検証することで、ユーザーを識別
    else
      flash.now[:danger] = 'Invalid email/password combination'
      render 'new'
    end
  end
  def destroy
  end
end

手順⑧ログイン・ログアウトメソッドを作成

ここでは、Railsのsessionメソッドを使って、Webブラウザへのレスポンスに含まれるset-cookieに、sessions.controller.rbのcreateアクションで認証したユーザーのuser.idを暗号化したものをセッション情報を持たせるという実装をしていきます。

■log_inメソッド
Ruby
1
session[:user_id] = user.id

これで、ユーザーのブラウザ内の一時cookiesに暗号化済のユーザーIDが自動生成される。これらは使い回しができるように、helperメソッドとして作っておく。

Ruby
1
2
3
4
5
6
7
8
# app/helers/sessions_heiper.rb
module SessionHelper
 
  def log_in(user)
    session[:user_id] = user.id
  end
 
end

合わせて、現在ログインしているユーザーオブジェクトを返すメソッドと、ユーザーがログインしているかどうかを評価するメソッドも作っておく。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
# app/helpers/sessions_helper.rb
module SessionsHelper
 
  def log_in(user)
    session[:user_id] = user.id
  end
 
  # 現在ログインしているユーザーを返す
  def current_user
    @current_user ||= User.find_by(id: session[:user_id])
    # @current_userに何も代入されていない時だけfind_byを呼び出して変数に格納することで、
    # 同じユーザーから複数回このメソッドを呼び出さた際に、都度DBに問い合わせる必要がなくなる。
    # 始めは当然@current_userはnilなので、セッション情報に含まれるuser_idに紐づくUserオブジェクトを抽出し、変数に代入するという処理が行われる
  end
 
  def logged_in?
    !current_user.nil?
    # ログイン中の状態＝セッションにユーザーが存在する＝current_userがnilでない状態。
  end
end

このSessionsHelperモジュールのメソッドをコントローラーで使えるようにapplication_controller.rbにincludeしておく

Ruby
1
2
3
4
5
6
# app/controllers/application_controller.rb
 
class ApplicationController < ActionController::Base
  protect_from_forgery with: :exception
  include SessionsHelper
end

これで、下記のような記述ができる。

Ruby
1
2
3
4
5
<%= if logged_in? %>
    <%= link_to 'ログアウト', logout_path, method: :delete %>
<% else %>
    <%= link_to 'ログイン', login_path %>
<% end %>

■log_outメソッド
⇒セッションIDを削除して、現在のユーザーをnilに設定する

Ruby
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
# app/helers/sessions_heiper.rb
module SessionHelper
  def log_in(user)
    session[:user_id] = user.id
  end
 
  # 現在ログインしているユーザーを返す (ユーザーがログイン中の場合のみ)
  def current_user
    @current_user ||= User.find_by(id: session[:user_id])
  end
 
 
  def logged_in?
    !current_user.nil?
    # ログイン中の状態＝セッションにユーザーが存在する＝current_userがnilでない状態。
  end
 
  def log_out
    session.delete(:user_id)　#セッションからユーザーIDを削除
    @current_user = nil　　　　#現在のユーザーをnilに設定
  end
end

あとは、sessionsコントローラーにこれらを記述すれば完成！！

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
class SessionsController < ApplicationController
 
  def new
  end
 
  def create
    user = User.find_by(email: params[:session][:email].downcase)
    if user && user.authenticate(params[:session][:password])
      log_in user
      redirect_to user
    else
      flash.now[:danger] = 'Invalid email/password combination'
      render 'new'
    end
  end
 
  def destroy
    log_out
    redirect_to root_url
  end
end

 

今回はあくまで、ログインに必要最低限の部分しか実装していませんが、これらを簡単に使えるようにしているdeviseはつくづく便利なgemだなと思いました笑

3+
ログアウト ログイン
関連記事