パーフェクトRails著者が解説するdeviseの現代的なユーザー認証のモデル構成について - joker1007’s diary

テクノロジーカテゴリーの変更を依頼記事元:

joker1007.hatenablog.com

671 usersがブックマークコメント

パーフェクトRails著者が解説するdeviseの現代的なユーザー認証のモデル構成について - joker1007’s diary

最近、パーフェクトRuby on Railsの増補改訂版をリリースさせていただいた身なので、久しぶりにRailsに... 最近、パーフェクトRuby on Railsの増補改訂版をリリースさせていただいた身なので、久しぶりにRailsについて書いてみようと思う。まあ、書籍の宣伝みたいなものです。数日前に、noteというサービスでWebフロント側に投稿者のIPアドレスが露出するという漏洩事故が起きました。これがどれぐらい問題かは一旦置いておいて、何故こういうことになるのか、そしてRailsでよく使われるdeviseという認証機構作成ライブラリのより良い使い方について話をしていきます。 (noteがRailsを使っているか、ここで話をするdeviseを採用しているかは定かではないので、ここから先の話はその事故とは直接関係ありません。Railsだったとしても恐らく使ってないか変な使い方してると思うんですが、理由は後述) 何故こんなことが起きるのかそもそも、フロント側に何故IPアドレスを送ってんだ、という話です

t-wada 暗黙のJSON変換を使わず明示的なシリアライザを使う（JSONもViewなので当然）。テーブルを分け、リソースも分ける。安易に簡単さに流されず、それでも手数はそこまで増やさない達人のアプローチ

rails

2020/08/17 リンク

koyancya やりたくなるこれｗ->“固定でエラーメッセージを返すエラーハンドラとかなら問題無いと思いますが、余計なお節介としてエラーになったオブジェクトの情報も付けとくか、とか思ってしまうと死ぬので気は使いましょう

takahashim “Railsは良くも悪くもRDBと密結合したフレームワークなので、まずテーブル構成からしっかりやっておけば、それなりに安全性が上がります”

yojik 自分はサーバで全てHTMLにレンダリングしてる時代はDTO(的なもの)に懐疑的だったが、WebAPIで何か返すときは出力用モデルへの変換は必須だと考えます。暗黙的に秘匿情報自動フィルタリングに至っては逆に危険な気がする

takc923 deviseの防衛策が入る前のバージョン使ってIPアドレスがアレした可能性あるんじゃないかと思って見てみたけどcommitされたの2012年だしnoteのサービス始まったの2014年だったから関係ないわ

stealthinu ユーザ認証のテーブル自体を認証方式ごとに作ってUserテーブル直にそのサービスごとの情報を持つべきではないという設計方針。なるほど。

tmtms “Railsがどういうフレームワークとして成り立ってきたかということと現代的なWebアプリケーションの実装におけるモデル構造とが乖離してきており、現代的なモデル構成が取れていないという点に問題の根幹がある”

ryosuke-fujii 「Userというとにかく肥大化しがちで絶対に失ってはいけないレコードに、一時的な要求でしか使わない情報を持たせるのはほとんどの場合で悪手でしょう。」

tech全般

2023/06/10 リンク

Nilfs ユーザー認証のモデル構成を開設している。用途別にそれぞれ分解していくのは良いかもしれない

2022/01/17 リンク

YassLab “サーバーサイドという自分達の環境に情報を閉じ込めておけないので、サーバーサイドでデータを取り扱うのに比べて、何を持つべきで何を持つべきでないのかを遥かにセンシティブに考える必要があります。”

2020/11/16 リンク

hiromichinomata Railsエンジニアはそういうものと諦めてるけどDjangoやASP.NETは組み込みのユーザー認証あるしフレームワークがちゃんとユーザーモデルサポートしてもいいと思う

2020/08/18 リンク

ota42y この認証ごとにbelongs_toするやつ、私も最近実践してるけどめっちゃおすすめ⊂(・8・)⊃ (超わかりやすく説明していてさすが)

rryu このクレデンシャルなどの非公開情報を別テーブルにする方式はRails3の頃から出ていた気がするのだが、一般的になっていないのは非公開情報だと把握できていればそこまでする必要はないということなのかもしれない。

luccafort Deviseは責務てんこ盛りなのでちゃんと綺麗に責務を分割するだけでこうなるんだよ！というお手本のようなコードで勉強になった。

Jullie Fantastic post however I was wondering if you could write a little more on this topic? I’d be very grateful if you could elaborate a little bit further. Many thanks! http://bit.ly/39bkvC0 https://www.dehradunescortsservices.com