rails アクション発行前にpasswordを入力させ、アクセス制限をかけたい。

Question

現在、勉強のためブログを開発してします。
その中で、特定の記事へアクセス制限機能を実現したいと思っており、少々つまずいてしまったので質問いたしました。

---

期待動作
タイトルの通りですが、アクション発行前にpasswordでアクセス制限をかけたいと思っております。
よくあるbasic認証のnameがないような形で実現したい。
アクセス制限をしたいブログの記事毎にpasswordを付与する予定です(aticlesテーブルに保存する)。

---

railsが用意している簡単にbasic認証の仕組みを導入できるauthenticate_or_request_with_http_basicなどを使って実現できないかと
思いましたが、 passwordだけでなくnameも必須なので今回の期待する動作には合わないようです。

どうすればpasswrodだけでbasic認証ような形式でアクセス制限をかけることできるでしょうか？
ご回答よろしくお願いいたします。

Answer 1

技術的には名前が空欄でもBasic認証を通すことは可能かもしれませんが、ブラウザが名前とパスワードの入ったダイアログを表示してしまいます。

「パスワードだけ入力させたい」のであれば、自前でフォームを描画するような別な手段が妥当です。

Comments

[kinoko8800]

ご回答ありがとうございます。なるほどです。自作の方向で行きたいと思います。
制限ありの記事にアクセスがあったときにshowアクションの前に自作ダイアログを表示して、入力されたパスワードを照合して、合致していればshowアクションに流すみたい流れだと思うのですが、この処理の流れをコントローラ内でどうやって実現するかあんまりピンとこないですね、、
before_actionでメソッドを一つかましてあげれば実現できそうですかね？

[kinoko8800]

追加で質問申し訳ありません。

[maisumakun]

> before_actionでメソッドを一つかましてあげれば実現できそうですかね？

そんな簡単な話ではありません。「本体の表示を行うアクション」以外に、「パスワード入力フォームの提示を行うアクション」「パスワードを受け付けて認証処理を行うアクション」が必要となります（認証自体が、複数のHTTPリクエストを繰り返す形となります）。

[kinoko8800]

そうですよね、、ちょっと考えが甘かったですね、ありがとうございます????‍♂️
アクセス制限付きの記事についてのみ、複数のHTTPリクエストをやりとりする形で行きたいのですが、この場合はrouteを分割して管理したほうが楽ですか？

[kinoko8800]

制限がない記事へのアクセス時の処理をあまりいじりたくないのと、routeを分けた方が処理を分岐させなくていいので分かりやすいかなと思いまして。よくわからないこと言ってたらすみません。
ちなみにですが、制限つきの記事の場合は、アプリ側にリンクは貼らず、URLを共有する形にしたいと思っております。

Answer 2

before_action に authenticate というのがあります。
それを参考にしてはどうでしょう。
before_action :need_password とでもして、特定のcontrollerの特定のactionに対して設定する。
そのなかで、該当するコンテンツではなかったら trueで終わり、該当だったらpassword入力画面をだす。

Comments

[kinoko8800]

ご回答ありがとうございます。
これですかね。
https://github.com/rails/rails/blob/83217025a171593547d1268651b446d3533e2019/actionpack/lib/action_controller/metal/http_authentication.rb#L199

使い方がパッと見てわからないので詳細について調べてみます????‍♂️

[kinoko8800]

def authenticate(request, realm, &password_procedure)
request.authorization && validate_digest_response(request, realm, &password_procedure)
end

やはり使い方がよくわからないです、、、
調べ方が悪いのか、使用例も出てこない、、泣