Hatena::ブログ(Diary)

ザリガニが見ていた...。 このページをアンテナに追加 RSSフィード

2008-08-03

railsforumのrestful_authenticationは素晴らしい!それを見てRESTfulの理解も深まる

最近、restful_authenticationで試行錯誤していて感じたこと。restful_authenticationはユーザー認証に関する必要最小限の機能を提供してくれるが、実際に運用できるレベルに仕上げるには、要点を押さえた的確な修正が必要になる。ユーザー認証のscaffold的な位置付けだろうと。

生成されるソースコードはとても簡潔にまとめられていて、読み易い。しかし、いざ自分好みのログインに修正しようとすると、実にいろいろな手段があり、どのような仕組みにするか本当に迷ってしまう。

例えば、以前の日記で試したパスワード忘れに対応する方法も、今振り返ってみれば最悪の例だ...。アクティベーションとパスワード忘れの処理が混同しているし、修正の手順もセキュリティ的に中途半端。実装の仕方もせっかくのrestful_authenticationのRESTfulなルールを無視している。やはり、自分にはお手本となるコードが必要だ。

そう思って探していると、素晴らしいお手本が見つかった!

ここで紹介されているコードをそのまま実装すれば、以下の機能が提供される。(実際に自分で試したのは、administrator権限によるユーザー管理まで)

  • メールによるアクティベーション
  • パスワード忘れの処理
  • ユーザー情報の編集
  • アクセス権による制限
  • administrator権限によるユーザー管理
  • OpenIDによるログイン

単に機能を追加するだけでなく、ログインの手順やページ遷移、その中で表示されるメッセージ、RESTfulなコーディング等すべてが洗練されて実装されている。素晴らしいお手本。

ユーザー登録の手順

  • ログインページ

f:id:zariganitosh:20080803153715p:image

  • Sign upリンクをクリックすると...

  • ユーザー登録ページへ

f:id:zariganitosh:20080803153714p:image

  • Sign upボタンを押すと...

  • ログインページで以下のメッセージ
    • 「Thanks for signing up! Please check your email to activate your account before logging in.(サインアップして頂きありがとうございます。ログインする前に、アカウントを有効にするためのメールを確認してください。)」
  • サインアップしたユーザーは、この時点ではログインすることは出来ない。まだログアウトの状態だ。

f:id:zariganitosh:20080803153713p:image


  • そしてメールを確認すると、以下の内容で届いている。
件名: 	[localhost:3000] Please activate your new account

Your account has been created. Username: zarigani Visit this url to activate your account: http://localhost:3000/activate/4eceb24519190ad7cb95eaeb62b1c80508c82ed2
  • メールに従ってリンクをクリックすると...

  • ログインページで以下のメッセージ
    • 「Your account has been activated! You can now login.(アカウントは有効になりました。これでログインできます。)」

f:id:zariganitosh:20080803153712p:image

      • ちなみにエラーが発生した場合、以下メッセージが表示される。
      • メール記載のアクティベーションのリンクを2回以上クリックした場合は「Your account has already been activated. You can log in below.(アカウントは既に有効になっています。以下でログインできます。)」
      • アクティベーションのURLが存在しない場合は「Activation code not found. Please try creating a new account.(アクティベーションコードが見つかりません。もう一度ユーザー登録してみてください。)」

  • アカウントが有効になったことはメールでも通知される。
件名: 	[localhost:3000] Your account has been activated!

zarigani, your account has been activated. You may now start adding your plugins: http://localhost:3000/

以上の手順となっている。

restful_authenticationのジェネレーターが生成するオリジナルとの違いは...
  • サインアップ直後はログアウト状態。
    • #self.current_user = @userをコメントアウトすることで実現されている。
# ---------- app/models/user.rb ----------
class UsersController < ApplicationController
...(中略)...
   def create
     cookies.delete :auth_token
     @user = User.new(params[:user])
     @user.save!
     #Uncomment to have the user logged in after creating an account - Not Recommended
     #self.current_user = @user
   flash[:notice] = "Thanks for signing up! Please check your email to activate your account before logging in."
     redirect_to login_path    
   rescue ActiveRecord::RecordInvalid
     flash[:error] = "There was a problem creating your account."
     render :action => 'new'
   end
...(中略)...

  • メールにパスワードを表示しない。
    • app/views/user_mailer/signup_notification.html.erbのPassword: <%= @user.password %>を削除している。
<%# ---------- app/views/user_mailer/signup_notification.html.erb ---------- %>
Your account has been created.

  Username: <%= @user.login %>
  Password: <%= @user.password %>

Visit this url to activate your account:

  <%= @url %>

  • ログアウトしない限りログイン状態を維持するRemember meオプションが最初から有効。
    • コメントタグ「<!-- Uncomment this if you want this functionality」と「-->」を削除することで実現されている。
<%# ---------- app/views/sessions/new.html.erb ---------- %>
<% form_tag session_path do -%>
<p><label for="login">Login</label><br/>
<%= text_field_tag 'login' %></p>

<p><label for="password">Password</label><br/>
<%= password_field_tag 'password' %></p>

<!-- Uncomment this if you want this functionality<%# この行を削除する %>
<p><label for="remember_me">Remember me:</label>
<%= check_box_tag 'remember_me' %></p>
--><%# この行を削除する %>
...(中略)...
    • デフォルトの有効期間は2週間だが、user.rbの以下の部分を修正することで調整できる。
# ---------- app/models/user.rb ----------
require 'digest/sha1'
class User < ActiveRecord::Base
...(中略)...
   # These create and unset the fields required for remembering users between browser closes
   def remember_me
     remember_me_for 2.weeks
   end
...(中略)...

  • アクティベーションでエラーが発生しても、適切なメッセージでサポートしてくれる。
    • 生成されたアクティベーションコードは、アクティベーション完了後も削除されず保存され続ける。

パスワードを忘れた場合の手順

  • ログインに失敗すると次のメッセージが表示される。「Your username or password is incorrect.(ユーザー名またはパスワードが違っています。)」

f:id:zariganitosh:20080804051428p:image

  • Forgot passwordのリンクをクリックすると...(Forgot passwordのリンクのみ自分で追加)

  • ユーザー登録した時のメールアドレスを入力するページに移動する。
  • もし間違ったメールアドレスを入力すると次のメッセージが表示される。「Could not find a user with that email address.(そのメールアドレスのユーザーは見つかりませんでした。)」

f:id:zariganitosh:20080804050556p:image

  • メールアドレスが正しく入力されれば...

  • ログインページで以下のメッセージ
    • 「A password reset link has been sent to your email address.(パスワードを再設定するリンクをお客様のメールアドレス宛てに送信しました。)」

f:id:zariganitosh:20080804050555p:image


  • パスワードを再設定するリンクを記載したメールが届く。
件名: 	[localhost:3000] You have requested to change your password

zarigani, to reset your password, please visit http://localhost:3000/reset_password/b1e0f1b91da6255640e538d61d58fa0e6b675e6c

  • メール記載のリンクをクリックすると、パスワード再設定のページへ移動する。

f:id:zariganitosh:20080804050554p:image

  • パスワードを正しく入力してReset your passwordボタンを押すと...

  • ログインページへ移動して次のメッセージが表示される。「Password reset.(パスワードは再設定されました。)」

f:id:zariganitosh:20080804050553p:image


  • その後、パスワードが再設定されたことを知らせるメールも届く。
件名: 	[localhost:3000] Your password has been reset.

zarigani, Your password has been reset

ユーザー情報の編集

  • Todoリストページを求めてログインするとメニューバーに表示されるユーザー情報と共にTodoリストが表示された。
    • もし、目指すページがない時は、以下のユーザー名Zariganiのリンクページが表示される。
    • スタイルシートは未設定なので、メニューバーは一般的なリストとして表示されている。

f:id:zariganitosh:20080804070726p:image

  • 順にリンクを辿ってみると...

  • ユーザー名Zariganiのリンクページ

f:id:zariganitosh:20080804065916p:image


  • Edit Profileのリンクページ

f:id:zariganitosh:20080804065915p:image


  • Change Passwordのリンクページ

f:id:zariganitosh:20080804065914p:image


  • Log Outするとメッセージが表示される。「You have been logged out.(ログアウトしました。)」

f:id:zariganitosh:20080804065912p:image

アクセス権による制限とadministrator権限によるユーザー管理

  • zariganiでログインして、http://localhost:3010/usersへアクセスしてみると...
    • ルートページhttp://localhost:3010/へリダイレクトされてアクセスできない。
    • メッセージは「You don't have permission to complete that action.(そのアクションを実行する権限がありません。)」

f:id:zariganitosh:20080804081034p:image


  • adminでログインしてみる。(パスワード: admin)

f:id:zariganitosh:20080804080904p:image

  • メニューにAdminister Usersのリンクが追加されているのでクリックすると...

  • ユーザーリストが表示されて以下の設定が可能だ。
    • Enabled?... そのユーザーの有効・無効の設定(無効だとログインできないユーザー)
    • Roles... アクセス権限の設定
      • デフォルトではユーザーadminに、Administrator権限が設定されている状態
      • ユーザーzariganiについては、アクセス権限なしの状態

f:id:zariganitosh:20080804080903p:image

何が起こっているのか?
  • UsersControllerでは、before_filter :check_administrator_role... が実行されて、index, destroy, enableアクションについては、ユーザーがadministrator権限を持っていることを要求している。
    • not_logged_in_requiredはログインしていないことを要求する。
    • login_requiredはログインしていることを要求する。
# ---------- app/controllers/users_controller.rb ----------
class UsersController < ApplicationController
   layout 'application'
   before_filter :not_logged_in_required, :only => [:new, :create] 
   before_filter :login_required, :only => [:show, :edit, :update]
   before_filter :check_administrator_role, :only => [:index, :destroy, :enable]
...(中略)...
  • ユーザーzariganiにはアクセス権の設定はない状態
  • ユーザーadminについては、マイグレーションファイルでadministrator権限が設定されている状態
# ---------- db/migrate/20080801140457_create_permissions.rb ----------
class CreatePermissions < ActiveRecord::Migration
   def self.up
     create_table :permissions do |t|
       t.integer :role_id, :user_id, :null => false
       t.timestamps
     end
     #Make sure the role migration file was generated first    
     Role.create(:rolename => 'administrator')
     #Then, add default admin user
     #Be sure change the password later or in this migration file
     user = User.new
     user.login = "admin"
     user.email = "info@yourapplication.com"
     user.password = "admin"
     user.password_confirmation = "admin"
     user.save(false)
     user.send(:activate!)
     role = Role.find_by_rolename('administrator')
     user = User.find_by_login('admin')
     permission = Permission.new
     permission.role = role
     permission.user = user
     permission.save(false)
   end
  
   def self.down
     drop_table :permissions
     Role.find_by_rolename('administrator').destroy   
     User.find_by_login('admin').destroy   
   end
end
新たに独自の権限moderatorを設定したくなったら...
  • rolesテーブルに、name = "moderator"のレコードを追加する。(以下はマイグレーションを利用する方法)
# ---------- db/migrate/20080801140457_create_permissions.rb ----------
class CreatePermissions < ActiveRecord::Migration
   def self.up
     create_table :permissions do |t|
       t.integer :role_id, :user_id, :null => false
       t.timestamps
     end
...(中略)...
     Role.create(:rolename => 'moderator')
...(中略)...
  • moderatorを要求するメソッドcheck_moderator_roleを追加する。
# ---------- lib/authenticated_system.rb ----------
module AuthenticatedSystem
   protected
...(中略)...
  def check_moderator_role
    check_role('moderator')
  end
...(中略)...
  • これで before_filter :check_moderator_role とすれば、moderator権限が要求されることになる。

ユーザーの状態によるusersテーブルの変化

  • 操作によってユーザーの状態が変化する時、usersテーブルのフィールドは、抜粋すると以下のように変化していく。

イベントremember_token remember_token_expires_atactivation_codeactivated_atpassword_reset_codeenabled
新規ユーザー登録直後 07db98435f337e7acbe5b485dc5eebed4a30c2ec t
アクティベーション完了 07db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05 t
パスワードリセット依頼 07db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05b1e0f1b91da6255640e538d61d58fa0e6b675e6ct
パスワードリセット完了 07db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05 t
Remember meチェックありのログインc22dea3efeacbf022ba6902ee6a3273df800493c2008-08-18 04:37:0607db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05 t
ログアウト 07db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05 t
administrator権限によるdisable 07db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05 f
administrator権限によるenable 07db98435f337e7acbe5b485dc5eebed4a30c2ec2008-07-28 02:57:05 t

RESTfulのルールに従ったコントローラー構成

  • app/controllers/以下にはrestful_authenticationを制御する5つのコントローラーが定義されている。
  • 唯一の例外users_controller.rbのenableアクションを除いて、アクションメソッドとして定義されるのはindex、new、create、show、edit、update、destroyのみ。
  • ほぼ完全にRESTfulのルールを守っている。
  • コントローラーは以下の役割を担っている。
    • sessions_controller.rb: ログイン(new, create)、ログアウト(destroy)
    • users_controller.rb: 新規ユーザー登録(new, create)、ユーザー情報の修正(edit, update)、ログイン情報の表示(show)、administrator権限によるユーザーリストの取得・有効無効の設定。
    • accounts_controller.rb: アクティベーション(show)、ログイン状態でのパスワード変更(edit, update)
    • passwords_controller.rb: Forgot Passwordのページ(new)、Reset Passwordボタンの処理(create)、メール記載のForgot Passwordのページ(edit)、Rset Your Passwordボタンの処理(update)
    • roles_controller.rb: ユーザー別のアクセス権リスト(index)、ユーザーにアクセス権を追加する(update)、ユーザーからアクセス権を削除する(destroy)
  • RESTfulな設計とはこのようにするのかと、思い知らされた。
    • map.resourcesで:collectionや:memberオプションを多用し始めたら、負け組。
    • そんな時は新たなくくりでコントローラーを抜き出して、index、new、create、show、edit、update、destroyアクションで置き換えられないか考えて直してみる。
    • 例えばここでは、UsersControllerのactivateアクションは、AccountsControllerのshowアクションに置き換えられている。

ビューを整えて、日本語訳すれば、そのまま使えそうな感じだ!これでlogin_engine、user_engineから移行することができる。

スパム対策のためのダミーです。もし見えても何も入力しないでください
ゲスト


画像認証