自分ではなく、指定したユーザがログイン中かどうか確認する方法

Question

rails6.1.0

rails初心者です。的外れな質問してたらすみません。
具体的なコーディングより設計に関する質問になるかもしれません。

マッチングアプリのようなものを作成中です。
相手ユーザが、
・ログインしてない場合→メール送信してお知らせ
・ログインしてる場合→メール送信しない（ActionCableで通知するため）
という機能を作りたいと考えてます。

ログイン中かの判定は、自分自身であれば簡単ですが、
他人がログイン中かどうかは通常どのように判断するのでしょうか？
探しましたが情報見つかりませんでした。

コードの中で、
logged_in?(user)
のように引数に相手ユーザを渡して判定できればと思ったのですが・・・。

セキュリティ的にマズイでしょうか？
そもそもセッションから判定しようとするのが厳しいでしょうか？
やるとするなら、DBに書き込む等の処理になるでしょうか？
それとも便利なgemがあるでしょうか？

考え方だけでも結構ですので何かアドバイスいただけると幸いです。

Answer 1

セキュリティ的にマズイでしょうか？

「何をマズいとするか」はアプリケーション次第です。
「マッチングアプリ」でしたら相手からの反応が気になるという点で、ONかOFFかは知っておきたいものでしょうし。
会員規約や会員登録時に「自身のON/OFFが相手に通知されます」という旨は明記しておくことで承諾を得るようにもできます。
もちろん文章を読ませるだけではなく項目にチェックさせるなど「確実な承諾」は得ておく必要はあります。

あとは作り次第です。

ログイン管理テーブルでも用意しておいて、ログイン／ログアウト時に更新するような仕組みとか、ブラウザ閉じて明確に「ログアウト」しないような場合は、一定時間何も操作なければセッションタイムアウトのタイミングで「ログアウト扱い」にするとか。

そういうGemがあるかどうかまでは知らないですが、自身である程度作りこむ必要はあると思います。

Comments

[pecchan]

たいへん参考になりました！
有難う御座います！！

[m.ts10806]

念の為、どのように解決とされたのかフィードバックください。
セキュリティ的なところを気にされるのでしたらとことん仕様を煮詰めてから実装に入らないと後でマズイことになるかもしれません

[pecchan]

ログイン時だけというより、サーバにリクエスト度に、user_idと現在時刻をテーブルに保存するようにしました。
厳格なログアウト判定やセキュリティは必要ないのでこれで充分です。

[m.ts10806]

どこかで削除するようにしないと不要データがたまっていくだけなのでご注意を。

[pecchan]

有難う御座います。
追加追加ではなく、更新でuser1人につき1行しか置かないので大丈夫です。

[m.ts10806]

いえ、ユーザが増えていったときのこと「常にオンラインという状況が与える利用者への影響」を加味したアドバイスです。