railsチュートリアル の11章に「new_tokenがユーザーIDと同じ役割を果たす」について

Question

railsチュートリアル の11章に「new_tokenがユーザーIDと同じ役割を果たします」とありますが、一体どのような仕組みなのでしょうか。

また、idを直接挿入しない理由はセキュリティ上の問題と考えているのですが、その理解で大丈夫でしょうか？

http://www.example.com/account_activations/q5lt38hQDc_959PVoo6b7A/edit

上のURLの「q5lt38hQDc_959PVoo6b7A」という部分はnew_tokenメソッドで生成されたものです (リスト 9.2)。URLで使えるようにBase64でエンコードされています。これはちょうど/users/1/editの「1」のようなユーザーIDと同じ役割を果たします。このトークンは、特にAccountActivationsコントローラのeditアクションではparamsハッシュでparams[:id]として参照できます。

railsチュートリアル 11章
https://railstutorial.jp/chapters/account_activation?version=5.0#sec-account_activations_controller

Answer 1

内部的にはIDというよりもパスワードとして利用しています。

クエリパラメータを使って、このURLにメールアドレスもうまく組み込んでみましょう。
account_activations/q5lt38hQDc_959PVoo6b7A/edit?email=foo%40example.com

となっているように、アカウントの識別にはパラメータemailを使っており、tokenは認証のためのパスワードです。

Comments

[nnmnnm]

回答ありがとうございます。少し開けたような気がしています。
クエリパラメータとして渡されたemailアドレスでユーザーを検索し、その後、URLに含まれたトークンの部分をDBに保存されたハッシュ化されたトークンと比較し、一致すればユーザーの有効化が完了するという流れは何となく見えた気がします。

「アカウントの識別にはパラメータemailを使っており、tokenは認証のためのパスワードです」とのことですが、emailアドレスにuniqueになるようにvalidationされているので、それが一意のユーザーを示すものとして、ユーザーIDと同等の働きができるという認識で大丈夫ですか？

しかし、そうなると、トークンとメールアドレスの両方をクエリパラメータに含めるという方法もできそうなのですが、URLに含めてしまうことには何か理由があるのでしょうか？

[asm]

そもそも、通常のログインの場合でもメールアドレスによってログインユーザを特定しています。
なので、この開発中のサイトではメールアドレスがユーザーIDを識別する際に使うもの、ということでしょう。

> URLに含めてしまうことには何か理由が
チュートリアルという性質上、色々なことを実演したかったのでは?

[nnmnnm]

たくさんの質問を丁寧に回答いただきありがとうございました！
助けていただいたおかげで、7割くらいの理解にすることができた気がしています！

Answer 2

new_tokenがユーザーIDと同じ役割を果たします

「new_tokenがあれば（これから作る確認手順を経由して）当該ユーザーとしてログインができる」という意味です。

idを直接挿入しない理由はセキュリティ上の問題と考えているのですが、その理解で大丈夫でしょうか？

はい、予測可能なIDでは容易に突破可能となってしまいます。

Comments

[nnmnnm]

回答ありがとうございます。new_tokenを代わりにユーザーIDとして利用できるということは理解しています。ただ、new_tokenという独自に定義したメソッド(アクション)を用いて生成されたトークンをIDの代わりに活用できることが不思議で、どのような処理をされているかを知りたいです。

new_token の内部にある SecureRandom.base64を使って生成されたオブジェクトは、IDとして利用可能ということですか？