railsのログイン機能の実装

Question

railsを使用してログイン機能を実装する際、

・ログイン
session[:user_id] = user.id

・ログアウト
session[:user_id] = nil

のようにセッションを使用するのはよくないのでしょうか？
パスワードに関しては、「has_secure_password」を使用すればよいと思うのですが...

調べてみる限り、deviseなどが広く使用されているようですが、カスタマイズがしにくいので
できれば使用したくはないのですが...

初心者なので当たり前のことが分かっていないのかもしれませんが、
何卒ご教授よろしくお願いいたします。

Answer 1

できないこともないですが、sessionに持たせる場合はセキュリティ上要注意です。
Railsでは黙っているとsession情報がクッキーでブラウザに送られます。するとそこでuser.idを書き換えて他の人になってアクセするということができてしまいます。
ですので、セッションに持たせる場合は、セッションをクッキーで渡さないという実装が必要になるかと。

Comments

[soft_admin]

https://techacademy.jp/magazine/7771
↑こちらのやり方はあまり適切ではないということでしょうか？

[winterboum]

作ってみる、勉強するという時には問題ないです。
セキュリティを気にしなければならない場合は、そのままではまずいですね。
セッションをDBに格納するという方法がありますからそれを使えば良いです。