rails tutorial 9章 db上のトークンを照合するメソッドの理解

Question

###rails tutorial 9章　9.1.2節
rails tutorial 9.1.2節のリスト9.6に記述されている、
authenticated?メソッドについて質問させていただきます。

class User < ApplicationRecord
  attr_accessor :remember_token

# 渡された文字列のハッシュ値を返す
  def User.digest(string)
    cost = ActiveModel::SecurePassword.min_cost ? BCrypt::Engine::MIN_COST :
                                                  BCrypt::Engine.cost
    BCrypt::Password.create(string, cost: cost)
  end

  # ランダムなトークンを返す
  def User.new_token
    SecureRandom.urlsafe_base64
  end

  # 永続セッションのためにユーザーをデータベースに記憶する
  def remember
    self.remember_token = User.new_token
    update_attribute(:remember_digest, User.digest(remember_token))
  end

  # 渡されたトークンがダイジェストと一致したらtrueを返す
  def authenticated?(remember_token)
    BCrypt::Password.new(remember_digest).is_password?(remember_token)
  end

ここではcookieを使ったユーザーの照合のために
User.new_tokenメソッドで生成したトークンを、
User.digest(string)メソッドでハッシュ化し、
rememberメソッドでデータベースのremember_digestカラムに保存しています。

この流れで生成されたremember_digestとremember_tokenを照合して
ユーザー認証を行うと考えているのですが、
だとするとauthenticated?メソッドはどんな役割があるのでしょうか。

解説ではtokenとdigestを照合し、一致すればtrueを返すとありますが、
メソッド内のremember_tokenはローカル変数であり、userインスタンスとは全く関係が無いように思えます。

どなたか解説をお願いいたします。

Answer 1

リスト 9.9: 永続的セッションのcurrent_userを更新する red
app/helpers/sessions_helper.rb

ここまでくると初めてauthenticated?メソッドが使用されるようですね。
そこでは user.authenticated?(cookies[:remember_token]) という使われ方になっており、どうやらブラウザに保持されたcookieのtoken情報が引数として渡されるようです。

そして、照合相手はDBに保存されたuserレコードのremember_digest属性ですね。

そうすると、動作としては「DBの情報」と「cookieに保存された情報」を照合し、両者が一致していれば同一ユーザーと判断して true を返す、そういう機能を持っていそうです。

---

そのあとどう話が進んでいくかはわかりませんが、remember_meに関連する問題なので、おそらく true が返却されたときはログイン済み（authenticated）として、ログイン後の画面に遷移させるために、この処理が使用されそうです。

Comments

[ketyan]

siruki6さん、ご回答ありがとうございます。
authenticated?の式が評価され、trueならログインというのは理解しております。

私の頭の中で、tokenはUser.new_tokenメソッドが生成し、その値をUser.digestがハッシュ化したものがdigestだと認識しております。
しかし、リスト9.6の下にある

>authenticated?メソッドのローカル変数として定義したremember_tokenは、
>リスト 9.3のattr_accessor :remember_tokenで定義したアクセサとは異なる点に注意してください

という記述から、User.new_tokenメソッドで生成したtokenと
authenticated?メソッドのローカル変数であるremember_tokenは別物であり、
digestと比較するするべきはアクセサの方のtokenではないか、と考えています。
それとも、二つのトークンは同じものだったりするのでしょうか。

どの点で私の理解が足りていないのか、ご指摘いただければ幸いです。