Deviseで認証・権限

Ruby応用で認証と認可を実装する背景

Railsアプリケーションでは、ユーザー認証と権限管理（認可）が不可欠です。Ruby応用の観点からは、認証と認可を分離し、再利用性とテスト容易性を高める設計が求められます。認証は「誰がアクセスするか」を決定し、認可は「何ができるか」を制御します。

DeviseとSorceryの比較

Deviseは機能が豊富で設定が簡単ですが、カスタマイズが難しい場合があります。一方、Sorceryは軽量で柔軟性が高く、必要な機能だけを組み込むことができます。以下は両者の設定例です。

# Gemfile
gem 'devise'   # もしくは gem 'sorcery'

# Deviseのインストール
rails generate devise:install
rails generate devise User

# Sorceryの設定
rails generate sorcery:install
# config/initializers/sorcery.rb で認証メソッドを追加

PunditとCanCanCanで権限管理

Punditはポリシークラスで細かい権限を定義し、CanCanCanはDSLで簡潔に記述できます。実装例を示します。

# Pundit
class PostPolicy
  attr_reader :user, :post
  def initialize(user, post)
    @user = user
    @post = post
  end
  def update?
    user.admin? || post.user_id == user.id
  end
end

# CanCanCan
class Ability
  include CanCan::Ability
  def initialize(user)
    can :manage, :all if user.admin?
    can :read, Post
    can :update, Post, user_id: user.id
  end
end

ログイン機能とセキュリティ対策

ログイン機能を実装する際は、パスワードハッシュ化、CSRF対策、セッション固定化防止などを行います。Deviseはこれらを標準で提供し、Sorceryはミドルウェアで追加できます。

# Deviseのセキュリティ設定
config.password_length = 8..128
config.timeout_in = 30.minutes
config.remember_for = 2.weeks

また、認可ライブラリと組み合わせることで、権限管理とセキュリティを一元化できます。

まとめ

Ruby応用で認証と認可を実装する際は、DeviseやSorceryで認証を、PunditやCanCanCanで権限管理を行うことで、保守性とセキュリティを両立できます。ログイン機能の設計は、ユーザー体験と安全性を両立させるために不可欠です。今後は、OAuthやJWTなどの外部認証プロバイダとの連携も検討すると良いでしょう。

なんでも技術ブログ

このブログを検索