Railsのcarrierwaveで保存したファイルをログインユーザのみ閲覧可能にさせたい

Question

前提・実現したいこと

Rails初心者です。
現在、いわゆるTwitterのようなWEBサービスを作成しています。
ひとつの投稿に、複数画像やファイルをアップロードさせる機能をcarrierwaveで実装しました。

発生している問題・エラーメッセージ

アップロードファイルをpublicディレクトリ配下に置いても、app/assets/配下に置いても、URL直打ちで未ログインでも閲覧できてしまいます。
これを、ログインユーザのみが閲覧できるようにしたいと思っていますが、どう設定すれば良いのかわかりません。

before_action :authenticate_user!
などを定義できればいいのですが、ページではなくファイルなので、それが可能なのかもわからず…
どなたかお力を貸していただけますと幸いです。

該当のソースコード

Rails.application.routes.draw do
  get 'users/index'
  get 'users/show'
  get 'posts/index'

  devise_for :users, module: :users
  resources :users, :only => [:index, :show]

  get "/" => "posts#index"
  get "posts/like_ranking" => "posts#like_rank"
  get "posts/post_count_ranking" => "posts#post_count"
  get "posts/tags_search" => "posts#tags_search"
  get "posts/new" => "posts#new"
  get "posts/:id/reply" => "posts#new"
  post "posts/create" => "posts#create"
  get "posts/:id" => "posts#show"
  get "posts/:id/edit" => "posts#edit"
  post "posts/:id/update" => "posts#update"
  post "posts/:id/destroy" => "posts#destroy"

  get 'tags/:tag', to: 'posts#index', as: :tag

  get "users/:id/likes" => "users#likes"
  get "users/:id/reply" => "users#reply"

  resources :posts, only: %w(index)

  resources :posts, shallow: true do
    resources :likes, only: [:create, :destroy]
  end
end

class ImageUploader < CarrierWave::Uploader::Base
  # Choose what kind of storage to use for this uploader:
  storage :file

  # Override the directory where uploaded files will be stored.
  # This is a sensible default for uploaders that are meant to be mounted:
  def store_dir
    "uploads/#{model.class.to_s.underscore}/#{mounted_as}/#{model.id}"
  end
end

保存の際は、uploads/post/images/1234(post_id)/sample.pngのようになります。

      <div data-link="/posts/<%= post.id %>" class="posts-index-item">
        <div class="post-left">
          <img src="<%= post.user.avatar %>">
        </div>
        <div class="post-right">
          <div class="post-user-name">
            <%= link_to(post.user.user_name, "/users/#{post.user.id}") %>
          </div>
          <div class="post-time">
            <%= post.created_at %>
          </div>
          <div class="post-content">
            <% if post.html_content.present? %>
              <%= post.html_content.html_safe %>
            <% else %>
              <%= post.content.html_safe %>
            <% end %>

            <% if post.images? %>
              <% post.images.each do |img| %>
                <% if img.content_type.index("image") %>
                  <div class="post-img">
                    <%= link_to img.url, target: "_blank" do %>
                      <%= image_tag img.url%>
                    <% end %>
                  </div>
                <% else %>
                  <div class="post-file">
                    <%= link_to img.file.identifier, img.url(query: { 'response-content-disposition' => 'attachment' }), target: "_blank" %>
                  </div>
                <% end %>
              <% end %>
            <% end %>
          </div>
          <% if post.tag_list.present? %>
            <ul class="post-tag">
              <% post.tags.each do |tag| %>
                <li>
                  <%= link_to tag, tag_path(tag.name) %>
                </li>
              <% end %>
            </ul>
          <% end %>
          <div class="post-reply">
            <%= link_to "/posts/#{post.id}/reply" do %>
              <span class="fa fa-reply"></span>
            <% end %>
          </div>
          <div id="like-buttons-<%= post.id %>">
            <%= render partial: 'like', locals: { post: post, like: @like} %>
          </div>
          <% if post.user_id == current_user.id %>
            <div class="post-menus">
              <%= link_to("編集", "/posts/#{post.id}/edit") %>
              <%= link_to("削除", "/posts/#{post.id}/destroy", {method: "post"}) %>
            </div>
          <% end %>
        </div>
      </div>

試したこと

ルートディレクトリ配下に置くから閲覧できてしまうのかも…と思い、ルートディレクトリと同階層にuploadsディレクトリを作り、そこに保存するようにもしてみましたが、urlがおかしいことになってしまい表示できませんでした…。

補足情報

サーバ環境はnginx、puma、mysqlです。
Railsのバージョンは5.1.5を使用しています。

Answer 1

takumiabe様の方法で解決いたしました。

まず、config/initializers/carriewwave.rbに以下を記述して、uploadsディレクトリをルート直下に設置。

CarrierWave.configure do |config|
  config.root = Rails.root
end

次に、UploadsControllerを作成し、以下を記述。

class UploadsController < ApplicationController
  before_action :authenticate_user!

  # carrierwaveでアップロードした画像の表示とダウンロード
  def show
    post_id = params[:id]
    filename = params[:filename]
    extension = params[:extension]
    filepath = Rails.root.join("uploads/post/images/#{post_id}", "#{filename}.#{extension}")
    stat = File::stat(filepath)

    # content-typeによって、表示かダウンロードか分ける。:disposition inline は表示。なければダウンロード。
    if extension == "jpg" || extension == "jpeg" || extension == "png" || extension == "gif" || extension == "bmp"
      send_file(filepath, :filename => filename, :length => stat.size, :type => "image/#{extension}", :disposition => "inline")
    else
      send_file(filepath, :filename => filename, :length => stat.size)
    end
  end
end

routes.rbでルーティングを設定。

Rails.application.routes.draw do
  get "uploads/post/images/:id/:filename.:extension" => "uploads#show"
end

以上でログインユーザにのみ、画像の表示、ファイルのダウンロードができるようになりました！
勉強になりました！ありがとうございました！

Answer 2

まず、public以外に保存すること、それ自体は発想として正しいです。

次に行うべきは、「自力で当該画像を配信すること」です。
具体的には、routes.rbに
get /media/:id(.:format)
等を定義して、対応するコントローラー(例えばMediaControllerという名前)を作り
そこから send_fileを用いて、保存したファイルを送り出すことになります。

そして、当該pathに対して認証をかければ、認証されているユーザーのみ、ファイルがDLできる仕組みになります。

ただし、サーバーインスタンスの多重化をする場合は、もう少し複雑な設計が必要になりますが、基本的な発想は同じです。

Comments

[suminoel]

ご回答ありがとうございます。

なんとなくやり方は理解できたのですが、実際のファイルパスはuploads/post/images/1234(post_id)/sample.pngのようになり、また一投稿に複数画像添付されていることもあるため、ルーティングをどう設定すればいいのかわからず躓いています…

link_to で /media/:id に一度送り、複数ある場合はアクションの中でeach do などの処理をすればいいのでしょうか？
また、その場合はview側の画像表示はどのようにすれば表示できますでしょうか？

お時間がございましたら、ご教示いただけますと幸いです。

Answer 3

view側でdeviseのメソッドuser_signed_in?を使用した条件分岐を使ってみてはどうでしょうか？

ユーザーがログイン済みなら表示

表示したいがファイル if user_signed_in?

Comments

[suminoel]

ご回答ありがとうございます。
ただ、今回の問題はview側での表示ではなく、アドレス直打ちでファイルが開けてしまうという問題ですので、view側で条件分岐をしてもアドレス直打ちすれば閲覧できてしまうんです…