2024-07-09追記: 公式ウェブでました。目次や読むべき順番がわかりやすいです。 CanCanCanを利用しようとしてみて、便利な半面、正しい使い方ができていなくヒヤッとしたパターンがありましたので、残しておきます。 authorize_resourceの罠Abilityを定義して、あとはauthorize_resourceをコントローラーに仕込んでおけば権限統制はOK、ではありませんでした。以下のように「titleがdemo_article_1234なら読み込める」例を定義してみます。 # app/models/ability.rb class Ability include CanCan::Ability def initialize(current_user) can :read, Article, title: "demo_article_1234" end end # ap

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

Rails 6 で omniauth-cognito-idp を使って Amazon Cognito 認証を実装するサンプルRailsAWScognito 要点 Amazon Cognitoを使えば、deviseに依存せずに、ユーザ登録・ログイン・ログアウト・パスワードリセット・ソーシャルログイン・n段階認証・SAMLなど、様々な機能がアプリケーションコードから分離するかたちで追加可能です。Amazon Cognitoの他にも、Auth0やFirebase Authentication等があり、IDaaS（Identity as a Service）と呼ばれます。 本記事では、Railsアプリケーションで動作検証をする場合の手順を記載しています。 Amazon Cognitoのユーザープールの作成とクライアントの設定の基本的な手順を解説（作業時間: 10分程度） 動作検証するためのサンプル

第6章ユーザーのモデルを作成する 第5章では、新しいユーザーを作成するためのスタブページを作ったところで終わりました (5.4)。これから4つの章を通して、ユーザー登録ページを作っていくことにしましょう。最初の一番重要なステップは、サイトのユーザー用のデータモデルの作成と、データを保存する手段の確保です。第7章では、ユーザーがサイトにユーザー登録できるようにし、ユーザープロファイルのためのページを作成します。ユーザー登録ができるようになると、次にサインイン、サインアウトもできるようにします (第8章)。そして第9章 (9.2.1) では、不正なアクセスから守る方法を学びます。まとめると、第6章から第9章を通して、Railsのログインと認証のシステムをひととおり開発します。ご存知の方もいると思いますが、Railsでは既にさまざまな認証方法が利用可能です。コラム 6.1では、最初に少なくとも一

大した情報ではないですが、 circle ciでRailsを使っている人への注意喚起になればと思います。 話の発端 2023/04/01 CircleCIで管理しているセキュア情報が漏洩したかもらしい 環境 Ruby on Rails: 7.0.2 Ruby: 3.1 ruby:3.1.0 をベースイメージにしたコンテナ内で作業 再生成していく 今回は例として、production用のcredentialsを再生成します。 ① 現状のcredentialsをメモする # 現状のcredentialsをメモ帳などにコピー $　rails credentials:show -e production db: username: hoge password: huga

はじめに 外部APIのキー情報やアクセストークンなどの機密情報を外部に漏らしてしまうと悪用される可能性があります。実際、外部APIにアクセスするための機密情報をオンコードで記述し、そのソースコードをGitHubに上げてしまったために、外部APIを不正利用（ただ乗り）されてしまったという事例もあります。 Railsにはそういった機密情報を暗号化し、安全に保護するCredentialsという機能があります。Credentialsを使えば、復号化キーを漏洩／盗難／紛失しない限り、機密情報を保護することができます。 本記事では、Credentialsを使った機密情報の保護について説明します。 Credentialsの基本 CredentialsはRails 5.2から導入された機能です。Railsアプリを作成したときに、暗号化ファイルとその復号化キーのセットが生成されます。 機密情報の復号化 Cr

【Rspec・devise token auth】Rails APIアプリのRspecテストでユーザログイン・認証を実装する方法RailsRSpecdevisedevise_token_auth Rspecテスト内でdevise token authをつかってユーザログイン・認証するのはどうするんだ！？ Deviseのやり方はたくさんあるのですがdevise token authは探すのに苦労したので、私と同じ状況に陥っている方のためにこの記事を残しておきます。 やりたいこと 下記の様に、BooksControllerにcreateメソッドがあり、createメソッドを実行するにはユーザが認証が必須（authenticate_user!）だとします。 class BooksController < ApplicationController before_action :authentic

2020.10.01に公開 2020.10.09に更新 Udemy 12. サーバーサイドのログイン認証 No.4 / 8 今回達成すること JWT（以下、トークン）を検証し、正しければ発行主のユーザーを返すAuthenticatorモジュールを作成します。 モジュールで作成したメソッドは、Railsコントローラーのbefore_actionで読み込みます。 これにより、ログインユーザーしかアクセスできないコントローラーアクションを作成することができます。 モジュールファイルを作成する モジュールファイルは、前回作成した「services/user_auth」ディレクトリ内に作成します。 authenticator.rbを作成しましょう。 root $ touch api/app/services/user_auth/authenticator.rb UserAuthを継承したモジュールを

2020.10.01に公開 2021.06.09に更新 Udemy 12. サーバーサイドのログイン認証 No.2 / 8 今回達成すること 今回は、ログイン認証の流れを理解し、JWTの実装に入ります。 JWTの初期設定ファイルを作成するところまでをゴールとしましょう。 ログイン認証機能の参考 ここで紹介するログイン機能は、RailsAPIでJWT認証が実装できるGem knockを参考にしています。 Knockは2016年から更新が止まっており、Rails6には対応しなくなりました。（非公式版は2020年も更新あり） そこで今回は、Knockのコードを参考に1からログイン認証を手作りします。 JWTを使ったログイン認証の流れ 今回実装するログイン認証では、以下の手順で認証が行われます。 1. クライアントからログイン情報を投げる まず初めにNuxt.jsからログインに必要な メールアドレ

解決する課題 従来のWebアプリケーションでは、認証情報をCookiesを利用して保持し、ログイン状態を保つことを実現しています。 APIではブラウザを介さないことからCookiesを使用したセッションの保持は行えないため、認証時に生成したトークンを用いて認証済み（ログイン状態）であることを表現できます。 JSON Web Tokenの利用 認証時に生成するトークンは慣例通りJSON Web Token（JWT)を利用します。 Railsでは"jwt"というGemがあるので、簡単に扱うことができます。 アプリケーションによりますが、controller/concernsに認証用モジュールを設け、そこにJWT関連の処理をまとめて記載すると扱いやすいです。 暗号化・復号化の実装 手始めに、暗号化・復号化の実装例は下記のようになります。 app/controller/concerns下に作成して

背景 以前、vue.js × Rails APIでのSPA開発に挑戦しました。その際、認証にJWTを使ったのですが、ネットの記事を参考に実装したために仕組みやコードを完全に理解できていませんでした。そのためJWTの認証について改めて記事にしてまとめたいと思いました。railsでvue,reactなどと連携させてSPA開発したい方は参考になるかと思います。 #目次 JWTについて JWTで認証をする流れ 実際のrailsコード解説 vue.jsとの連携 1. JWTについて ###■JWTとはなにか JWTとはJSON Web Tokenの略で、JSON形式で表されたトークンです。著名・暗号化によってセキュアな通信ができます。 ###■JWTの中身 JWTは下記のうようにピリオド区切りで３つの要素に分かれています。 ①のヘッダー要素は、データの型やルールを指定します。 ②のペイロード要素には

ruby-jwtのエンコードメソッドについて ruby-jwtのエンコードメソッドであるJWT.encodeの引数の意味は以下の通りです。 たとえば第3引数にRS256（SHA-256アルゴリズムを利用したRSA）を指定した場合、第2引数にはRSA暗号の秘密鍵をセットします。 第3引数にnone（署名やMAC値を利用しない）を指定した場合、noneではパスワードが不要なため第2引数にはnilをセットします。 なおアルゴリズムの動的な選択は脆弱性につながるため、第3引数はハードコードで記述することが推奨されています。1 ruby-jwtのデコードメソッドについて ruby-jwtのデコードメソッドであるJWT.decodeの引数の意味は以下の通りです。 たとえばRS256アルゴリズムを利用したJWTをデコードする場合、第2引数にはRSA暗号の公開鍵（あるいは秘密鍵）を指定し、第4引数には{

JWTはtokenというキー名でCookieに保存する JWTの署名アルゴリズムはRSA256を利用する JWTのエンコードでは事前に作成したRSA暗号の秘密鍵を利用する JWTにはユーザーIDを保存する JWTの有効期限は14日とする 下準備 ユーザーの作成 認証対象のユーザーを作成します。ActiveModel::SecurePassword::ClassMethodsのドキュメントに従い、has_secure_passwordでパスワード管理されたデータを作成します。 Gemfile gem "bcrypt" ### モデルのマイグレーション $ rails g model user name email password_digest $ rails db:migrate user.rb class User < ActiveRecord::Base has_secure_pass

scaffold で User Model と Controller を作ります。 lock_version というカラムを追加すると Rails で楽観ロックを実装してくれます。便利ですね。 $ cd yourappname $ rails g scaffold User name:string \ email:string \ role:integer \ password_digest:string \ register_user:integer \ update_user:integer \ lock_version:integer \ activated_at:datetime \ deleted_at:datetime User.create!([ { name: 'admin', email: '[email protected]', role: 'admin', passw

概要 MITライセンスに基づいて翻訳・公開いたします。 英語記事: janko/rodauth-rails: Rails integration for Rodauth authentication framework 原文更新日: 2023/07/26（3af6a7f） ライセンス: MIT 見出しの深さは変えてあります。 rodauth-railsにはRails 7ベースの設定済みデモアプリもあります。 rodauth-rails作者のjanko氏による以下の記事もどうぞ。 Rails: 認証gem ‘Rodauth’を統合するrodauth-railsを開発しました（翻訳） 2022/11/08: 初版公開 2023/07/20: 更新（パスキーに対応） 🔗 Rodauthを使う理由 Railsには、既に有名な認証ソリューションがいくつもあります（Devise、Sorcery、Cl