RailsでBasic認証とユーザー認証の二重認証を実装 #Ruby

この記事は？

Ruby on Railsで二重認証をかける話です。

二重認証？

Basic認証とユーザー認証の二段構えの認証を行いたい、みたいな話です。

Basic認証とユーザー認証(フォームによる認証)の違いについては、こちらを参考にするとよいのではないかと思います。

必要性

身内のみで使うことを想定したWebアプリなんかで、Basic認証で身内以外の人を弾いてフォームによる認証で個人を識別したい、というときに使うことを考えています。

Webサイトに最初にアクセスした時に

のような認証を出してこれを通過した場合には、

のようなフォームによる認証を出し両方を通過した場合のみWebアプリケーションを利用できる、という仕組みを作りたいと思います。

アプリケーション構成

実験的なアプリケーションとして最低限必要なものはUserデータベースとそれを操作する足場(Scaffold)、そしてログイン認証のコントローラとそのビューと言ったところでしょうか？

まずは、足場を作ってしまいます。

$ rails g scaffold user name:string password_digest:string

今回はログイン機能に最低限必要なコラムだけ作りました。続いて、セキュアな暗号化を提供してくれるgemをインストールします。Gemfileを開いて、'bcrypt'にかかっているコメントアウトを外して保存し

$ bundle install

とします。次に、ログイン認証のコントローラを作ります。

$ rails g controller login

これでひとまずの準備は整ったので、ファイルをいじっていきます。membersモデルのscaffoldingによってアクセス可能なアクションとして、
'users#index'、'users#show'、'users#edit'、'users#new'が追加されているはずです。これらのうち'user#new'以外にアクセスしようとした場合にはbasic認証とユーザー認証がかかるようにします。

Basic認証

RailsでBasic認証を利用するのはとても簡単です。今回は特定のグループ所属のユーザー以外を弾きたい、という場合を想定しているのでグループに所属していない人にはそもそもアクセスできないようにしたいので、Applicationコントローラー内にフィルターとして実装します。全機能に制限をかけたいのでonly/exceptオプションはなしです。このとき、ユーザー認証に関しても予めフィルタとして書いておきます。basicフィルタがBasic認証に関して、check_loginedが二段階目のユーザー認証に関してのアクションです。

class ApplicationController < ActionController::Base
  protect_from_forgery with: :exception
  before_action :basic, :check_logined 

  private
    def basic
      name = 'hogehoge'
      passwd = '39975bb0ba31825c4fdd3de775dd468081b3522b'
      authenticate_or_request_with_http_basic('BA') do |n, p|
        n == name && Digest::SHA1.hexdigest(p) == passwd
      end
    end
end

basicフィルターはそのブラウザで初めてアクセスした際にBasic認証を行い、ブラウザを閉じるまでは認証を維持します。

上の例ではユーザ名に'hogehoge'、パスワードに'fugafuga'を入れることで認証されます。なお、パスワードはハッシュ化されたものをコード内に記述しましたが、自分でパスワードを設定してハッシュ化したものを記述したい場合は、

$ rails console

でrailsの対話環境を開き

irb(main)> Digest::SHA1.hexdigest('パスワード化したい文字列')

を実行するとハッシュ化された文字列が帰ってくるので、それをソース内に記述すると良いでしょう。なお、ハッシュ関数はこの他にもいろいろ利用できるようです。

フォームによるユーザー認証

フォームによる認証の場合、ユーザーの情報を記録したデータベースが必要になりますがこれは先程作成しました。

まずは、Applicationコントローラー内のcheck_loginedフィルタを定義してしまいます。

class ApplicationController < ActionController::Base
  (中略)
  private
    (中略)
  def check_logined
    if session[:usr] then
        begin
          @usr = User.find(session[:usr])
        rescue ActiveRecord::RecordNotFound
          reset_session
        end
      end
      unless @usr
        flash[:referer] = request.fullpath
        redirect_to controller: :login, action: :check
      end
  end
end

これによってセッション情報がUsersテーブルに存在するユーザーであるかどうかを判定して、ログイン済みかどうかを判定することができます。ユーザー情報が取得できなかった場合はloginコントローラのcheckアクションにリダイレクトします。したがって、次はcheckアクションをloginコントローラーに定義しにいきます。

このとき、bcryptによるセキュアな暗号化機能を利用したいのでUserモデルを編集します。

class User < ApplicationRecord
  has_secure_password
end

このメソッドは、モデルにpassword/password_confirmationプロパティやその検証機能、認証のためのauthenticateメソッドを自動的に付加します。従って、こちらはモデルにpasswordプロパティなどを定義する必要はありません。ただし、このメソッドはusersテーブルにpassword_digestフィールドが存在することを前提としています。このpassword_digestフィールドには暗号化されたパスワード列が保存されます。

password_digestフィールドは先程のscaffoldingの際に作ってしまったので再定義の必要はありません。

認証用フォームの作成

認証用のフォームを作成します。check_loginedフィルタでリダイレクト先としてloginコントローラーのcheckアクションが指定されていたのでcheckアクションに対応したビューを作成します。

<p style="color: Red">
    <%= @error %>
</p>
<%= form_tag action: :check do %>
    <div class="field">
        <%= label_tag :username, 'ユーザ名' %> : <br/>
        <%= text_field_tag :username, '', size: 20 %>
    </div>
    <div class="field">
        <%= label_tag :password, 'パスワード' %> : <br/>
        <%= password_field_tag :password, '', size: 20 %>
    </div>
    <%= hidden_field_tag :referer, flash[:referer] %>
    <%= submit_tag 'ログイン' %>
<% end %><br/>

<%= link_to '新規登録', new_user_path %>

一方、loginコントローラーのcheckアクションの方にはフォームの入力内容が送信されてくるのでそれを処理するコードを記述します。

class LoginController < ApplicationController
    skip_before_action :check_logined

    def check
        usr = User.find_by(name: params[:username])
        if usr && usr.authenticate(params[:password]) then
            reset_session
            session[:usr] = usr.id
            redirect_to params[:referer]
        else
            flash.now[:referer] = params[:referer]
            @error = 'ユーザ名/パスワードが間違っています。'
            render 'check'
        end
    end
end

二行目のskip_before_actionに:check_loginedを記述しないと堂々巡りが発生しログインフェーズに映ることができません。

ルーティング

このままだとルーティングが失敗するのでroutes.rbにcheckアクションへのルートを記述します。

Rails.application.routes.draw do
  get 'login/check'
  post 'login/check'
  resources :users
  # For details on the DSL available within this file, see http://guides.rubyonrails.org/routing.html
end

resourcesの部分は、usersモデルをscaffoldで作成した場合はすでに書いてあるはずです。

usersビュー側の整形

これで認証部分は終わりですが、usersのビューに少し不備があるので直します。newテンプレートは特に直す必要はありませんがせっかくなので日本語化しておきます。

<h1>新規登録</h1>

<%= render 'form', user: @user %>

<%= link_to '戻る', users_path %>

showテンプレートはデフォルトだとpassword_digestを表示するようになっていますが、ハッシュされたものだとしてもこれが見えるのは嬉しくはないので表示するパラグラフを消しておきます。

<p id="notice">
    <%= notice %>
</p>

<p>
    <strong>名前:</strong>
    <%= @user.name %>
</p>

<%= link_to '編集', edit_user_path(@user) %> |
<%= link_to '戻る', users_path %>

続いてindexテンプレートですが、こちらもデフォルトではpassword_digestが見えてしまうので消しておきます。

<p id="notice">
    <%= notice %>
</p>

<h1>ユーザー一覧</h1>

<table>
    <thead>
        <tr>
            <th>名前</th>
            <th colspan="3"></th>
        </tr>
    </thead>

    <tbody>
        <% @users.each do |user| %>
            <tr>
                <td>
                    <%= user.name %>
                </td>
                <td>
                    <%= link_to '見る', user %>
                </td>
                <td>
                    <%= link_to '編集', edit_user_path(user) %>
                </td>
                <td>
                    <%= link_to '破棄', user, method: :delete, data: { confirm: '本当に破棄しますか?' } %>
                </td>
            </tr>
            <% end %>
    </tbody>
</table>

<br>

<%= link_to '新規作成', new_user_path %>

editテンプレートはとくに修正の必要はありません。日本語化だけしておきます。

<h1>ユーザーの編集</h1>

<%= render 'form', user: @user %>

<%= link_to '見る', @user %> |
<%= link_to '戻る', users_path %>

最後に部分テンプレート_form.html.erbは、少し修正が必要です。

<%= form_with(model: user, local: true) do |form| %>
    <% if user.errors.any? %>
        <div id="error_explanation">
            <h2>
                <%= pluralize(user.errors.count, "error") %> prohibited this user from being saved:</h2>

            <ul>
                <% user.errors.full_messages.each do |message| %>
                    <li>
                        <%= message %>
                    </li>
                    <% end %>
            </ul>
        </div>
        <% end %>

            <div class="field">
                <%= form.label :name %>
                    <%= form.text_field :name, id: :user_name %>
            </div>

            <div class="field">
                <%= form.label :password %>
                    <%= form.password_field :password %>
            </div>

            <div class="actions">
                <%= form.submit %>
            </div>
        <% end %>

デフォルトでは、パスワードの部分がpassword_digestになってしまっていてform.text_fieldになってしまっているはずなので、password_fieldに変えて引数も:passwordに変更します。passwordプロパティはbcryptの機能で自動的に設定されています。ここに受け取った文字列を暗号化したものがpassword_digestに保存されるという仕組みです。

最後に

ユーザーの新規登録だけはログインせずにでもできるようにしないといけません。usersコントローラーにskip_before_actionの一文を追加します。また、StrongParameters機能も少し書き換えなければなりません。デフォルトでは:password_digestになっているはずなので、:passwordに書き換えます。

class UsersController < ApplicationController
  before_action :set_user, only: [:show, :edit, :update, :destroy]
  skip_before_action :check_logined, only: [ :new, :create ]
    (中略)
  def member_params
      params.require(:user).permit(:name, :password)
    end
end

これで全ての準備が整ったので、二重認証ができるようになるはずです。