Railsのversion更新時に伴うactiverecord-session-storeの振る舞いについて

RailsのSession管理について

RailsでSessionの管理を行う際に、SessionStoreという形式が提供されています。
ファイルでいうところの config/initializer/session_store.rb です。

デフォルトではCookieStoreというブラウザのCookieを使う方法が利用されています。

• https://api.rubyonrails.org/classes/ActionDispatch/Session/CookieStore.html

CookieStoreは、サーバを通ることがないため非常に高速ですが、いくつのか欠点もあります。

1. 逆にサーバからSession情報を変更したいタイミングでアクセスができない。
2. CookieSessionへの再生攻撃やセッションハイジャックなどのセキュリティリスク
   • https://railsguides.jp/security.html#cookiestore%E3%82%BB%E3%83%83%E3%82%B7%E3%83%A7%E3%83%B3%E3%81%AB%E5%AF%BE%E3%81%99%E3%82%8B%E5%86%8D%E7%94%9F%E6%94%BB%E6%92%83

他にもありますが、プロトタイプを作る際などには他のサーバやmiddlewareを用意する必要もありませんが、サービスが伸びてくるにつれ、上記の欠点が浮き彫りになってくると思います。

ActiveRecord-Session_Storeについて

• https://github.com/rails/activerecord-session_store

これはActiveRecordでSessionを管理する方法です。すなわちブラウザCookieではなく、DBでsessionを管理します。
gemとして提供されており、READMEのInstallationを行うだけでよく、非常に楽です。

他にもSessionStoreとしてはredis-railsが有名でしょうか。

• https://github.com/redis-store/redis-rails

Sessionのloadとdump

ActiveRecord-Session_Storeでは、serializerというどういった形式でsessionを保存するのかが記載されています。

1. MarshalSerializer
   • Marshalモジュールにて書き出し、読み込みを行いBase64で加工をしています。
   • https://docs.ruby-lang.org/ja/latest/class/Marshal.html
2. JsonSerializer
   • 名の通り、JSON形式で管理をします。
3. HybridSerializer
   • Marshal形式からJson形式への変更を行うhybridな管理法です。
4. NullSerializer
   • データを何も加工せず、そのまま保存する形式です。

Rails version更新時に伴うactiverecord-session-storeの振る舞いについて

ここでようやくタイトル回収です。

Railsのversionを更新する際には、ActiveSupportにて定義されているMarshal#loadの形式も変わります。

1. 4.2系の場合
   • https://github.com/rails/rails/blob/4-2-stable/activesupport/lib/active_support/core_ext/marshal.rb
2. 5.1系の場合
   • https://github.com/rails/rails/blob/5-1-stable/activesupport/lib/active_support/core_ext/marshal.rb

version upの際に、SessionデータをMarshal形式で保存していると、
例として4.2から5系へと更新をするとして
更新タイミングでMarhsalの形式が変更され、sessionを読み込むのと同時に値が変わる可能性があります。

何もなければ問題はありませんが、一部のデータではempty hashの値がnilになっていたりと、version更新時に障害となる可能性があります。

対策

対策としては簡単で、Session情報を削除するだけです。
そうすることで、Railsの新規versionで新しくSessionデータが作られるので、versionの変更によるデータ不整合は起きません。

$ bin/rake db:sessions:clear

とすることで、sessionsテーブルがtruncateされ、sessionデータを空にすることができます。

とはいえ本当に空にしていいのかはアプリケーションの実装にもよると思います (immutableではないなど)
その場合は、Railsのversion更新前にHybridSerializerを利用し、Marshal形式からJSON形式へ変更をしておくと安心できるかもしれません。