userがログインしてることが必須の画面において確認の仕方

Question

ruby on railsチュートリアルを終えた程度の初心者です。

railsに限定されない事かもですが、userのログイン確認をどう行うのが一般的か分かりません。

ログインして利用することが前提の場合、

class HogeController
  before_action :logged_in_user
end

みたいな感じで各アクションの前にログイン済みかどうか確認すると思うのですが

この時、確認に使用するuser_idは、「セッション」から取得して確認するのが一般的でしょうか？

それとも以下のように

<%= link_to "予定を登録", new_plan_path(@user) %>

毎回パラメータから渡して、params[:id]で確認するのが一般的でしょうか？

迷って分からなくなってきました。

どちらでも良いのかもしれませんが、統一しなくてはと思い質問しました。

考え方などアドバイスいただけたら幸いです。

初心者につき的外れな質問かもしれませんがどうぞ宜しくお願い致します。

Answer 1

毎回パラメータから渡して、params[:id]で確認するのが一般的でしょうか？

このような実装はやってはいけません。攻撃者がでたらめなIDを送信することで、第三者のログインとしてなりすますことが可能となってしまいます。

Comments

[pecchan]

アドバイス有難う御座います。

一応本人かどうかのチェックは行っているのですが、安全上良くないですよね。納得しました。

同じ考え方で、userのログイン時だけなく、id系は出来る限りパラメータに含めない方がよろしいでしょうか？

[pecchan]

杓子定規的にid系全てじゃないですね。
オークションの商品idなんか問題ないですし。

勉強になりました！有難う御座います。