ランダムパスワード(英数字混合)を生成したい

Question

railsでアプリケーションを作成しており、テストユーザーログイン機能の実装を行っています。
パスワードをランダムで生成したいのですがうまくいかずにいるため助けていただきたいです。

開発環境

Ruby 2.6.5
Rails 6.0.3.3

現状のコード

class Users::SessionsController < Devise::SessionsController
  def new_guest
    user = User.find_or_create_by!(nickname: 'ゲストユーザー', email: '[e-mail]') do |user|
      user.password = SecureRandom.alphanumeric
    end
    sign_in user
    redirect_to root_path, notice: 'ゲストユーザーとしてログインしました。'
  end
end

モデルには以下のバリデーションを設定しています

  PASSWORD_REGEX = /\A(?=.*?[a-z])(?=.*?[\d])[a-z\d]+\z/i.freeze
  validates_format_of :password, with: PASSWORD_REGEX, on: :create, message: 'には半角英字と半角数字の両方を含めて設定してください'

英数字混合のバリデーションを指定しているためSecureRandom.alphanumericではエラーが生じることがあります。
そのため他の方法を調べたところSecureRandom.hexを使うといいのではないかと思ったのですがhex文字列についてもよく理解できていません。

そこで以下２点について教えていただきたいです。

1.SecureRandom.hex(引数は指定せず３２桁のパスワードを生成する)にした場合英数字混合の文字列が必ず生成されるのでしょうか？
2.SecureRandom以外にランダムパスワード(英数字混合)を生成する方法があれば教えていただきたいです。

よろしくお願いいたします。

Answer 1

mkpasswdやpwgenを使うのはどうでしょうか？（OSにインストールされてなきゃ使えません）

以下、rubyを使った事が無く今インストールして試しただけなので推奨されないやり方の可能性もあります

require 'open3'
stdin, stdout, stderr, wait_thr = Open3.popen3('pwgen -s 32 -n 1 -c 1 1')
pw = stdout.gets(nil)

#未確認
require 'open3'
stdin, stdout, stderr, wait_thr = Open3.popen3('mkpasswd -l 32 -c 1 -C 1 -d 1 -s 0')
pw = stdout.gets(nil)

ubuntuの方は動作確認しましたが、もうruby消したので質問には答えられません。

追記

似たようなオプション持ってるライブラリがあるようなので紹介のみ。
https://www.rubydoc.info/gems/pwgen/1.0.2
※前述の通りruby削除済みなので確認はしてません

Comments

[退会済みユーザー]

ありがとうございます。
mkpasswdやpwgenに関しては全くの無知の状態ですのでご提示いただいたライブラリ含め、勉強してみます。

Answer 2

力技ですが、仮に３２文字のパスワードを生成する場合です。
３０文字をSecureRandom.alphanumericで生成します。（かつ小文字に変換）
残りの２桁にランダムなアルファベット１文字と数字１文字を付け加えます。
最悪でも１文字はアルファベットと数字が入ります。
もっと数字もしくはアルファベットの桁数を増やしたい場合は、適当に桁数を調整してください。
アルファベット２文字、数字３文字にしたいなら
addw = ['a'..'z'].sample(2).join + ['0'..'9'].sample(3).join
のようにします。SecureRandom.alphanumericの桁数はその分小さくしてください。

require 'securerandom'
#小文字のパスワード
pass = SecureRandom.alphanumeric(30).downcase
#念のためランダムなアルファベット１文字と数字１文字を付加する
addw = [*'a'..'z'].sample(1).join + [*'0'..'9'].sample(1).join
pw = pass + addw

p pass
p addw
p pw
#最後が必ず数字になる為シャッフルする
pw = pw.scan(/./).shuffle.join
p pw

実行結果
"8c4xnagoqc6mqzsk01e2y6jbrho0lp"
"u3"
"8c4xnagoqc6mqzsk01e2y6jbrho0lpu3"
"lbz46uch8ro06g3oykqpe2nq1cs0jmxa"

Comments

[退会済みユーザー]

なるほど。
そのようなやり方もあるのですね。
参考にさせていただきます。
ありがとうございました。

Answer 3

SecureRandom.hex(引数は指定せず３２桁のパスワードを生成する)にした場合英数字混合の文字列が必ず生成されるのでしょうか？

必ずそうなる保証はありません。完全にランダムであれば「数字ばかり」や「英字ばかり」の出る確率がないと逆におかしいです。

SecureRandom以外にランダムパスワード(英数字混合)を生成する方法があれば教えていただきたいです。

ランダム性を落とす方法を除外するなら「条件を満たすまでSecureRandomを引き続ける」のがいちばんやりやすいかと思います。

Comments

[maisumakun]

SecureRandom.alphanumeric（16文字）がアルファベットだけ/数字だけになる確率は3.8%程度です。引き直しが延々続く確率はごくわずかです。

[maisumakun]

本題ではありませんが、記号を設定できないバリデーションはよろしくないかと思います。

[退会済みユーザー]

やはり１００％ということはないのですね。
ありがとうございます。
ご指摘いただいたバリデーションに関しても１度考え直します。

ありがとうございました。