こんにちは。業務でRuby / Rails によるバックエンドエンジニアをしています。
業務経歴が半年立ったので、改めて幅広くRailsについて知りたいと思いRails Tutorial を完遂しました。
最後の｢14.4.1 サンプルアプリケーションの機能を拡張する｣の項のREST API機能の実装に取り組んでみたので、コードを掲載します。
誤っている点や改善点などあれば教えていただけると幸いです。
環境
$ sw_vers
ProductName: Mac OS X
ProductVersion: 10.15.4
BuildVersion: 19E287
$ ruby -v
ruby 2.6.5
$ rails -v
Rails 6.0.0
前提
Usersリソースのみに機能を追加しました。
すなわち、indexアクション、showアクション、createアクション、updateアクションについての実装をしました。
アプリケーションコード
respond_toメソッドを使って要求されたHTMLとJSONのフォーマットごとにレスポンスを返せるようにしました。
app/controllers/users_controller.rb
class UsersController < ApplicationController
before_action :logged_in_user, only: %i[index edit update following followers]
before_action :correct_user, only: %i[edit update]
before_action :admin_user, only: :destory
def index
@users = User.where(activated: true).paginate(page: params[:page])
respond_to do |format|
format.html
format.json { render json: @users, status: 200 }
end
end
def show
@user = User.find(params[:id])
redirect_to(root_url) && return unless @user.activated?
@microposts = @user.microposts.paginate(page: params[:page])
respond_to do |format|
format.html
format.json { render json: @user, status: 200 }
end
end
def new
@user = User.new
end
def create
@user = User.new(user_params)
if @user.save
respond_to do |format|
format.html do
@user.send_activation_email
flash[:info] = 'Please check your email to activate your account.'
redirect_to root_url
end
format.json { render json: @user, status: 200 }
end
else
respond_to do |format|
format.html { render 'new' }
format.json { render json: @user.errors, status: 400 }
end
end
end
def edit
@user = User.find(params[:id])
end
def update
@user = User.find(params[:id])
if @user.update(user_params)
respond_to do |format|
format.html do
flash[:success] = 'Profile updates'
redirect_to @user
end
format.json { render json: @user, status: 200 }
end
else
respond_to do |format|
format.html { render 'edit' }
format.json { render json: @user.errors, status: 400 }
end
end
end
def destroy
@user = User.find(params[:id])
@user.destroy
flash[:success] = 'User deleted'
redirect_to users_url
end
def following
@title = 'Following'
@user = User.find(params[:id])
@users = @user.following.paginate(page: params[:page])
render 'show_follow'
end
def followers
@title = 'Following'
@user = User.find(params[:id])
@users = @user.followers.paginate(page: params[:page])
render 'show_follow'
end
private
def user_params
params.require(:user).permit(:name, :email, :password, :password_confirmation)
end
def correct_user
redirect_to root_url unless correct_user?(User.find(params[:id]))
end
def admin_user
redirect_to(root_url) unless current_user.admin?
end
end
テストコード
テスト項目は主に下記としました。
- HTTPステータスコード
- レスポンスの内容
test/integration/users_api_test.rb
require 'test_helper'
class UsersApiTest < ActionDispatch::IntegrationTest
def setup
@user = users(:michael)
end
test 'GET /users' do
log_in_as(@user)
get users_path, as: :json
assert_response 200
user_response = JSON.parse(response.body)
assert 30, user_response.count
end
test 'GET /users/:id' do
log_in_as(@user)
get user_path(@user), as: :json
assert_response 200
user_response = JSON.parse(response.body)
assert @user.name, user_response['name']
assert @user.email, user_response['email']
end
test 'POST /users' do
# 新規ユーザー作成失敗
assert_no_difference 'User.count' do
post users_path,
params: { user: {
name: '',
email: ''
} },
as: :json
end
assert_response 400
error_response = JSON.parse(response.body)
assert_includes error_response['name'], "can't be blank"
assert_includes error_response['email'], "can't be blank"
# 新規ユーザー作成成功
assert_difference 'User.count', 1 do
post users_path,
params: { user: {
name: 'New User',
email: 'new_user@example.com',
password: 'password',
password_confirmation: 'password'
} },
as: :json
end
assert_response 200
user_response = JSON.parse(response.body)
assert_equal 'New User', user_response['name']
assert_equal 'new_user@example.com', user_response['email']
end
test 'PUT /users/:id' do
log_in_as(@user)
# 更新前のユーザー情報の確認
get user_path(@user), as: :json
non_updated_user_response = JSON.parse(response.body)
assert_not_equal 'Updated User', non_updated_user_response['name']
assert_not_equal 'updated@example.com', non_updated_user_response['email']
# ユーザー情報更新失敗
patch user_path(@user),
params: { user: {
name: '',
email: ''
} },
as: :json
assert_response 400
error_response = JSON.parse(response.body)
assert_includes error_response['name'], "can't be blank"
assert_includes error_response['email'], "can't be blank"
# ユーザー情報更新成功
patch user_path(@user),
params: { user: {
name: 'Updated User',
email: 'updated@example.com'
} },
as: :json
assert_response 200
updated_user_response = JSON.parse(response.body)
assert_equal 'Updated User', updated_user_response['name']
assert_equal 'updated@example.com', updated_user_response['email']
end
end
最後に
REST APIの項には、
セキュリティには十分注意してください。認可されたユーザーにのみAPIアクセスを許可する必要があります。
との記載がありましたが、この認可の機能についてはブラウザでログインしたユーザーのみを認可するというやり方をとりました。
とはいえ、APIとしてブラウザ外から利用されることを前提に考えるとこの方法では良くなかったような気がしています。
こうしたAPIの認可はリクエストのクエリパラメーターにuser_idやトークンをついかして、あらかじめ発行したトークンを持つユーザーに各アクションを許可するようなやり方があるようですね。
上記のようなブラウザ外から利用されることを前提にした認可機能についても今後実装してみたいなと思っています。