Railsで認証を実装するのに有名なGemであるplataformatec/deviseを使ってトークン認証を実装するためのGemであるlynndylanhurley/devise_token_authを使ってトークンによる認証を実装する。
+αで少しカスタマイズする方法も書く。
ちなみにdeviseにもかつてはTokenAuthenticatableがあったらしいがなくなった。
バージョンはこちら。
$ bundle list | grep -e 'devise' -e ' rails ' * devise (4.7.1) * devise_token_auth (1.1.3) * rails (6.0.0)
インストールと初期設定
公式ドキュメントとかを見れば良い。
$ echo "gem 'devise_token_auth'" >> Gemfile $ bundle install $ rails g devise_token_auth:install Account accounts
これによって必要なファイル群(モデル、マイグレーション、initializerなど)が生成されるので、それを編集すれば良い。
これで終わってしまってはアレなので、以降では自分がやってみたことについて書く。
モデル
今回はAccoutとした。
class Account < ActiveRecord::Base devise :database_authenticatable, :registerable, :recoverable, :rememberable, :validatable, :lockable include DeviseTokenAuth::Concerns::User end
まあ普通でdeviseの機能がそれっぽく使える感じ。
schema
Migrationファイルを弄った結果このようなaccountsテーブルとなっている。
create_table "accounts", force: :cascade do |t| t.string "provider", default: "email", null: false t.string "uid", default: "", null: false t.string "encrypted_password", default: "", null: false t.string "reset_password_token" t.datetime "reset_password_sent_at" t.boolean "allow_password_change", default: false t.datetime "remember_created_at" t.string "confirmation_token" t.datetime "confirmed_at" t.datetime "confirmation_sent_at" t.integer "failed_attempts", default: 0, null: false t.string "unlock_token" t.datetime "locked_at" t.string "name", null: false t.string "email", null: false t.json "tokens" t.datetime "created_at", precision: 6, null: false t.datetime "updated_at", precision: 6, null: false t.index ["confirmation_token"], name: "index_accounts_on_confirmation_token", unique: true t.index ["email"], name: "index_accounts_on_email", unique: true t.index ["reset_password_token"], name: "index_accounts_on_reset_password_token", unique: true t.index ["uid", "provider"], name: "index_accounts_on_uid_and_provider", unique: true t.index ["unlock_token"], name: "index_accounts_on_unlock_token", unique: true end
routes
自動生成されるものだと/accountsがベースになってしまうが/api/accountsにしたい、という場合はこんな感じ。
scope :api do mount_devise_token_auth_for 'Account', at: 'accounts' end
namespaceを使うとうまく行かなかったのでscopeを使っている。
これでrails routesするとこんな風になる。
$ bundle exec rails routes | grep accounts
new_account_session GET /api/accounts/sign_in(.:format) devise_token_auth/sessions#new
account_session POST /api/accounts/sign_in(.:format) devise_token_auth/sessions#create
destroy_account_session DELETE /api/accounts/sign_out(.:format) devise_token_auth/sessions#destroy
new_account_password GET /api/accounts/password/new(.:format) devise_token_auth/passwords#new
edit_account_password GET /api/accounts/password/edit(.:format) devise_token_auth/passwords#edit
account_password PATCH /api/accounts/password(.:format) devise_token_auth/passwords#update
PUT /api/accounts/password(.:format) devise_token_auth/passwords#update
POST /api/accounts/password(.:format) devise_token_auth/passwords#create
cancel_account_registration GET /api/accounts/cancel(.:format) devise_token_auth/registrations#cancel
new_account_registration GET /api/accounts/sign_up(.:format) devise_token_auth/registrations#new
edit_account_registration GET /api/accounts/edit(.:format) devise_token_auth/registrations#edit
account_registration PATCH /api/accounts(.:format) devise_token_auth/registrations#update
PUT /api/accounts(.:format) devise_token_auth/registrations#update
DELETE /api/accounts(.:format) devise_token_auth/registrations#destroy
POST /api/accounts(.:format) devise_token_auth/registrations#create
new_account_unlock GET /api/accounts/unlock/new(.:format) devise_token_auth/unlocks#new
account_unlock GET /api/accounts/unlock(.:format) devise_token_auth/unlocks#show
POST /api/accounts/unlock(.:format) devise_token_auth/unlocks#create
api_accounts_validate_token GET /api/accounts/validate_token(.:format) devise_token_auth/token_validations#validate_token
トークンによる認証の実装
みんな大好きApplicationControllerに書く。
class ApplicationController < ActionController::API include DeviseTokenAuth::Concerns::SetUserByToken before_action :authenticate_account!, unless: :devise_controller? before_action :configure_permitted_parameters, if: :devise_controller? respond_to :json private def devise_token_auth_controller? params[:controller].split('/')[0] == 'devise_token_auth' end def configure_permitted_parameters # DBにaccounts.nameカラムがある場合 devise_parameter_sanitizer.permit(:sign_up, keys: [:name]) devise_parameter_sanitizer.permit(:account_update, keys: [:name]) end end
必要最小限でこんな感じ。
- deviseにある
:devise_controller?がdevise_token_authでも使える devise_parameter_sanitizer.permitで必要なパラメータを追加できる
というところがポイント。
routesをカスタマイズする
上の方に書いたやつでもいいけど、少しカスタマイズする。
具体的にはsign up用のパスをPOST /api/accountsではなくPOST /api/accounts/sign_upにしたい。
mount_devise_token_auth_forの:skipオプションと、devise_scope :accountの組み合わせで実現できる。
scope :api do mount_devise_token_auth_for 'Account', at: 'accounts', skip: [:registrations] devise_scope :account do post '/accounts/sign_up', to: 'devise_token_auth/registrations#create' put '/accounts', to: 'devise_token_auth/registrations#update' delete '/accounts', to: 'devise_token_auth/registrations#destroy' end end
この結果、こんなroutesが生成される。
$ be rails routes | ag registration
accounts_sign_up POST /api/accounts/sign_up(.:format) devise_token_auth/registrations#create
accounts PUT /api/accounts(.:format) devise_token_auth/registrations#update
DELETE /api/accounts(.:format) devise_token_auth/registrations#destroy
curlでリクエストを送ってみる
ここまで実装してきたRailsアプリに対してcurlでリクエストを送る。
sign_up
まずはアカウント登録処理。
$ curl -H "Content-Type: application/json" \
-d "$(jo name=hoge email=hoge@example.com password=password password_confirmation=password)" \
'localhost:3000/api/accounts/sign_up' \
| jq -S .
{
"data": {
"allow_password_change": false,
"created_at": "2019-10-31T14:21:54.026Z",
"email": "hoge@example.com",
"id": 1,
"name": "hoge",
"provider": "email",
"uid": "hoge@example.com",
"updated_at": "2019-10-31T14:21:54.120Z"
},
"status": "success"
}
いい感じ。
sign_in
今作成したアカウントの情報を使ってemail/passwordでsign_inする。
$ curl -H "Content-Type: application/json" \
-d "$(jo email=hoge@example.com password=password)" \
'localhost:3000/api/accounts/sign_in' \
-i
HTTP/1.1 200 OK
X-Frame-Options: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
X-Download-Options: noopen
X-Permitted-Cross-Domain-Policies: none
Referrer-Policy: strict-origin-when-cross-origin
Content-Type: application/json; charset=utf-8
access-token: twkb92Ycy28DuMyfBYn4GA
token-type: Bearer
client: D1cGRIzfDhxYgoRSN8xsIw
expiry: 1573741507
uid: hoge@example.com
ETag: W/"ed6728748b7589356745b69594dc77f9"
Cache-Control: max-age=0, private, must-revalidate
X-Request-Id: abc3e906-3f87-44b3-849a-19ce4cf3418c
X-Runtime: 0.229688
Vary: Origin
Transfer-Encoding: chunked
{"data":{"id":1,"email":"hoge@example.com","provider":"email","uid":"hoge@example.com","allow_password_change":false,"name":"hoge"}}
ここで大事なのはヘッダのaccess-token, client, uidの3つ。
少なくともこの3つが認証処理に必要な文字列となる。
認証する
認証してただその情報を返してくれるcontrollerとrouteを用意する。
controllerがこんな感じ
class Api::SessionsController < ApplicationController def whoami render json: current_user, status: :ok end end
routesはこんな感じ
namespace :api, defaults: { format: :json } do get '/whoami', to: 'sessions#whoami' end
これに対して、先程sign_inで手に入れた認証情報を乗せたリクエストを送ってみる。
$ curl -H "Content-Type: application/json" \
-H "access-token: twkb92Ycy28DuMyfBYn4GA" \
-H "client: D1cGRIzfDhxYgoRSN8xsIw" \
-H "uid: hoge@example.com" \
'localhost:3000/api/whoami' \
| jq -S .
{
"allow_password_change": false,
"created_at": "2019-10-31T14:21:54.026Z",
"email": "hoge@example.com",
"id": 1,
"name": "hoge",
"provider": "email",
"uid": "hoge@example.com",
"updated_at": "2019-10-31T14:25:07.999Z"
}
誤ったリクエストを送るとちゃんと怒られる
$ curl -H "Content-Type: application/json" \
'localhost:3000/api/whoami' \
| jq -S .
{
"errors": [
"You need to sign in or sign up before continuing."
]
}
認証情報を1つの文字列にぶち込む
とはいえ毎回access-token, client, uidの3つをヘッダに乗せるのはめんどくさい。
そこで1つの文字列に全部入れて扱えるようにヘルパーを書いてみる。
class ApplicationController < ActionController::API ... before_action :split_tokens prepend_after_action :join_tokens private def split_tokens return if request.headers['X-Access-Token'].nil? token = JSON.parse(Base64.decode64(CGI.unescape(request.headers['X-Access-Token']))) request.headers['access-token'] = token['access-token'] request.headers['client'] = token['client'] request.headers['uid'] = token['uid'] end def join_tokens return if response.headers['access-token'].nil? auth_json = { 'access-token' => response.headers['access-token'], 'client' => response.headers['client'], 'uid' => response.headers['uid'], } response.headers.delete_if{|key| auth_json.include? key} response.headers['X-Access-Token'] = CGI.escape(Base64.encode64(JSON.dump(auth_json))) end ... end
ものすごく雑にaccess-token, client, uidの3つの情報を、JSON + base64 + URLエンコードを組み合わせてX-Access-Tokenヘッダとして扱えるようにしている。
これによってX-Access-Tokenヘッダが返ってくるようになり、
$ curl -H "Content-Type: application/json" \
-d "$(jo email=hoge@example.com password=password)" \
'localhost:3000/api/accounts/sign_in' -i \
| grep X-Access-Token
X-Access-Token: eyJhY2Nlc3MtdG9rZW4iOiJ3WEZmeVo2TEZROGNJWDFTV2tMeFVBIiwiY2xp%0AZW50IjoieEd1U0pHVVNRaUtueE8yb1pfWGJuUSIsInVpZCI6ImhvZ2VAZXhh%0AbXBsZS5jb20ifQ%3D%3D%0A
X-Access-Tokenヘッダを送り返せば認証が成功するようになる。
$ curl -H "Content-Type: application/json" \
-H "X-Access-Token: eyJhY2Nlc3MtdG9rZW4iOiJ3WEZmeVo2TEZROGNJWDFTV2tMeFVBIiwiY2xp%0AZW50IjoieEd1U0pHVVNRaUtueE8yb1pfWGJuUSIsInVpZCI6ImhvZ2VAZXhh%0AbXBsZS5jb20ifQ%3D%3D%0A" \
'localhost:3000/api/whoami' \
| jq -S .
{
"allow_password_change": false,
"created_at": "2019-10-31T14:21:54.026Z",
"email": "hoge@example.com",
"id": 1,
"name": "hoge",
"provider": "email",
"uid": "hoge@example.com",
"updated_at": "2019-10-31T14:48:54.447Z"
}
