同じsession_tokenが生成されてるはずなのに比較してもfalseが返ってくるエラー

Question

実現したいこと

session_tokenを比較してtrueを返す様にしてテストを通す様にしたい。

発生している問題・分からないこと

railsチュートリアルの10章を進めている最中のテストコードで

  test 'successful edit' do
    log_in_as(@user)
    get edit_user_path(@user)
    patch user_path(@user),
          params: { user: { name: 'Foo Bar', email: '[e-mail]', password: 'password',password_confirmation: 'password' } }
    assert_redirected_to @user
    @user.reload

    assert_equal 'Foo Bar', @user.name
    assert_equal '[e-mail]', @user.email
  end
end

というのがあったのですがassert_redirected_to @userの箇所でshowページが返ってくるのを期待しているのにloginページが返ってきてしまいます。
その原因を自分でbyebugで調査した所途中処理のsession[:session_token] == user.session_tokenの内容が一致していないのが原因だと思いました。
理由としましてはsessions_controller.rbにbyebugを挟んでsession[:session_token]とuser.session_tokenの内容を確認したら内容が食い違っているせいで@current_userが空になっていて下のsession _helper.rbのlogged_in?のcurrent_user.present?がfalseになっておりusers_contoller.rbのeditアクション前で発火するlogged_in_userがfalseになりlogin_urlに返ってしまっていると考えました。
一連のソースコードを書かせて頂きます。（コードブロックの数の制限上ルーティングや一部コードは省かせていただいてます。）

エラーメッセージ

root@34c7bd0bbb60:/app# rails test test/integration/users_edit_test.rb:40
Running 3 tests in a single process (parallelization threshold is 50)
Started with run options --seed 52443

 FAIL UsersEditTest#test_successful_edit (0.54s)
        Expected response to be a redirect to <http://www.example.com/users/762146111> but was a redirect to <http://www.example.com/login>.
        Expected "http://www.example.com/users/762146111" to be === "http://www.example.com/login".
        test/integration/users_edit_test.rb:45:in `block in <class:UsersEditTest>'

  3/3: [=============================================================================================================================] 100% Time: 00:00:00, Time: 00:00:00

Finished in 0.54173s
1 tests, 2 assertions, 1 failures, 0 errors, 0 skips

該当のソースコード

michael:
  name: Michael Example
  email: [e-mail]
  password_digest: <%= User.digest('password') %>
  admin: true

archer:
  name: Sterling Archer
  email: [e-mail]
  password_digest: <%= User.digest('password') %>

lana:
  name: Lana Kane
  email: [e-mail]
  password_digest: <%= User.digest('password') %>

malory:
  name: Malory Archer
  email: [e-mail]
  password_digest: <%= User.digest('password') %>

<% 30.times do |n| %>
user_<%= n %>:
  name:  <%= "User #{n}" %>
  email: <%= "user-#{n}@example.com" %>
  password_digest: <%= User.digest('password') %>
<% end %>

def setup
 @user = users(:michael)
end

test 'successful edit' do
    log_in_as(@user)
    get edit_user_path(@user)
    patch user_path(@user),
          params: { user: { name: 'Foo Bar', email: '[e-mail]', password: 'password',password_confirmation: 'password' } }
    assert_redirected_to @user
    @user.reload

    assert_equal 'Foo Bar', @user.name
    assert_equal '[e-mail]', @user.email
  end

module ActionDispatch
  class IntegrationTest

    def log_in_as(user, password: 'password', remember_me: '1')
      post login_path, params: { session: { email: user.email,
                                            password: password,
                                            remember_me: remember_me } }
    end
  end
end

def create
    user = find_user_by_email
    if authenticated?(user)
      perform_login(user)
    else
      handle_failed_authentication
    end
  end

 private

def find_user_by_email
  User.find_by(email: params[:session][:email].downcase)
end

def authenticated?(user)
  user&.authenticate(params[:session][:password])
end

def perform_login(user)
  forwarding_url = session[:forwarding_url]
  reset_session
  manage_remember_me(user)
  log_in user
  redirect_to forwarding_url || user
end

def manage_remember_me(user)
  params[:session][:remember_me] == '1' ? remember(user) : forget(user)
end

def log_in(user)
    session[:user_id] = user.id
#ここで一回目のuser.session_tokenが入る
    session[:session_token] = user.session_token
  end

def current_user
    if (user_id = session[:user_id])
      user = User.find_by(id: user_id)
      @current_user = user if user && session[:session_token] == user.session_token
      #ここにbyebugを挟んでsession[:session_token]とuser.session_tokenの内容を確認したら内容が食い違っている。
      そのせいで@current_userが空になっていて下のsession _helper.rbのlogged_in?のcurrent_user.present?がfalseになっておりusers_contoller.rbのeditアクション前で発火するlogged_in_userがfalseになりlogin_urlに返ってしまっている。
    elsif (user_id = cookies.encrypted[:user_id])
      user = User.find_by(id: user_id)
      if user&.authenticated?(cookies[:remember_token])
        log_in user
        @current_user = user
      end
    end
  end

  def current_user?(user)
    user && user == current_user
  end

before_action :logged_in_user, only: %i[index edit update destroy]
before_action :correct_user,   only: %i[edit update]

def edit
    @user = User.find(params[:id])
end

def update
    if @user.update(user_params)
      flash[:success] = 'Profile updated'
      redirect_to @user
    else
      render 'edit', status: :unprocessable_entity
    end
  end

def logged_in_user
    #ここでfalseが返ってしまいログインでコケてしまい編集ページに飛べずテストが失敗している。
    return if logged_in?
    store_location
    flash[:danger] = 'Please log in.'
    redirect_to login_url, status: :see_other
  end

  def correct_user
    @user = User.find(params[:id])
    redirect_to(root_url, status: :see_other) unless current_user?(@user)
  end

(session _helper.rb)
def logged_in?
    current_user.present?
end

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

・config/initializers/session_store.rb ファイルにて、セッションのキー、有効期限、セキュリティ設定などをしているらしいのでここで極端に有効期限が短くなっているのかと思ったがそもそも対象のファイルがなかった。
・config/environments/development.rb、config/environments/production.rbに記述されている可能性があるらしいがそれらしい記述もなかった。

補足

特になし

Comments

[shinoharat]

user.session_token の実装が知りたいのですが、これは自前で実装したメソッドでしょうか？
それとも何かの gem を利用されていますか？
自前のものならコードを追記して欲しいです。 gem なら gem の名前を教えてください。

[sdka]

閲覧ありがとうございます！
こちらsession_tokenとそれに関係するメソッドです。

def session_token
remember_digest || remember
end

def remember
self.remember_token = User.new_token
update(remember_digest: User.digest(remember_token))
remember_digest
end

def self.new_token
SecureRandom.urlsafe_base64
end

def self.digest(string)
cost = if ActiveModel::SecurePassword.min_cost
BCrypt::Engine::MIN_COST
else
BCrypt::Engine.cost
end
BCrypt::Password.create(string, cost:)
end

shinoharatさんのコメントで気づいたのですがここでDB側にSecureRandom.urlsafe_base64を使ってトークン生成と保存をしていたので毎回合致しなかったのでしょうか・・・？

[shinoharat]

追記ありがとうございます。返信が遅れて申し訳ないです。
ざっと見た感じ問題なさそうに見えますね・・・。

--

> shinoharatさんのコメントで気づいたのですがここでDB側にSecureRandom.urlsafe_base64を使ってトークン生成と保存をしていたので毎回合致しなかったのでしょうか・・・？

いえ、「remember_digest が無い場合のみ新たにトークンを生成する」というコードになっているので、トークン生成は初回の1度のみのはずです。

--

念のため、「session_token」を複数回呼び出したときに毎回同じ値を返すかどうかテストしていただけませんか？

// コンソールの起動
$ bin/rails console

// テスト用ユーザの新規作成
irb(main)> user = User.create(name: "foo", email: "[e-mail]", password: "pass", password_confirmation: "pass")

// remember_digest の初期値を確認。ここでは nil のはず。
irb(main)> user.remember_digest

// 何度実行しても同じ値が返るはず。
irb(main)> user.session_token
irb(main)> user.session_token
irb(main)> user.session_token

// リロードしてもさっきと同じ値が返るはず。
irb(main)> User.find(user.id).session_token

[sdka]

追記ありがとうございます。
こちらテスト結果となります。

＝＝＝＝＝＝＝＝＝＝
root@7adbc2f81978:/app# bin/rails console
Loading development environment (Rails 7.0.8)
irb(main):001> user = User.create(name: "foo", email: "[e-mail]", password: "pass", password_confirmation: "pass")
TRANSACTION (0.3ms) BEGIN
User Exists? (0.8ms) SELECT 1 AS one FROM "users" WHERE "users"."email" = $1 LIMIT $2 [["email", "[e-mail]"], ["LIMIT", 1]]
TRANSACTION (0.3ms) ROLLBACK
=>
#<User:0x00007f4f13f7c380
...
irb(main):002> user.remember_digest
=> nil
irb(main):003> user.session_token
TRANSACTION (0.3ms) BEGIN
User Exists? (1.0ms) SELECT 1 AS one FROM "users" WHERE "users"."email" = $1 LIMIT $2 [["email", "[e-mail]"], ["LIMIT", 1]]
TRANSACTION (0.5ms) ROLLBACK
=> "$2a$12$6lJWHTrS1rGertcriANko.bOBcURPvLnTwEu7b3RVKxG0J/ty8q.m"
irb(main):004> user.session_token
=> "$2a$12$6lJWHTrS1rGertcriANko.bOBcURPvLnTwEu7b3RVKxG0J/ty8q.m"
irb(main):005> user.session_token
=> "$2a$12$6lJWHTrS1rGertcriANko.bOBcURPvLnTwEu7b3RVKxG0J/ty8q.m"
irb(main):006> User.find(user.id).session_token
/usr/local/bundle/gems/activerecord-7.0.8/lib/active_record/relation/finder_methods.rb:455:in `find_with_ids': Couldn't find User without an ID (ActiveRecord::RecordNotFound)
＝＝＝＝＝＝＝＝＝＝

最後のみ指定したIDのレコードがデータベースに存在しないエラーが出てますね・・・。

[shinoharat]

1行目の User.create の時点で失敗しているようです。
何かのバリデーションに引っかかってるのかな？と思います。（パスワードに数字が無いとダメとか、emailが重複してるとか）

お手数ですが、 User.create(...) の引数部分を調整して再テストしてみてください。

[shinoharat]

create 時に TRANSACTION (0.3ms) ROLLBACK とログに出たら登録に失敗しています。目安にしてください。

[sdka]

ありがとうございます！

試しにrails cを行ったのちuser = User.create(name: "foo", email: "[e-mail]", password: "pass", password_confirmation: "pass")
と
if user.errors.any?
puts user.errors.full_messages
end
をした所Password is too short (minimum is 6 characters)と怒られていました。
そこで別の疑問を見つけたのですがこちらのスキーマファイルを見てください。
＝＝＝＝＝＝＝＝＝＝
ActiveRecord::Schema[7.0].define(version: 20_240_217_112_854) do
# These are extensions that must be enabled in order to support this database
enable_extension 'plpgsql'

create_table 'users', force: :cascade do |t|
t.string 'name'
t.string 'email'
t.datetime 'created_at', null: false
t.datetime 'updated_at', null: false
t.string 'password_digest'
t.boolean 'admin', default: false
t.string 'remember_digest'
t.index ['email'], name: 'index_users_on_email', unique: true
end
end
＝＝＝＝＝＝＝＝＝＝
railsチュートリアルではpasswordカラムが用意されていないのです。
今回は単純にテスト時のpasswordの文字数が足りなかっただけですが、文字数を増やしてバリデーションを通過した場合フォームから送られてきたpasswordキーを持つレコードは通常どの様に登録されるのでしょうか。
話をずらしてしまい申し訳ありません。
それとこちら回答のソースコードです。(恥ずかしい話自分で見てもわかりませんでしたので教えてくださると助かります。）
https://github.com/yasslab/sample_apps/tree/main/7_0/ch10

[shinoharat]

パスワードは暗号化された上で「password_digest」カラムに保存されます。
「password」は「password_digest」を作るための一時的な変数みたいなもので、DBには保存されません。
生のパスワードをそのままDBに保存するのはセキュリティ上危険なので、こういう作りになっています。

参考URL: Rails ガイド - SecurePasswordモジュール
https://railsguides.jp/active_model_basics.html#securepassword%E3%83%A2%E3%82%B8%E3%83%A5%E3%83%BC%E3%83%AB

[sdka]

丁寧な解説ありがとうございます。理解できました。
ただDBの保存が出来ない問題がまだ続いていまして、例えば

＝＝＝＝＝＝
def self.digest(string)
cost = if ActiveModel::SecurePassword.min_cost
BCrypt::Engine::MIN_COST
else
BCrypt::Engine.cost
end
BCrypt::Password.create(string, cost:)
end

def self.new_token
SecureRandom.urlsafe_base64
end

def remember
self.remember_token = User.new_token
update(remember_digest: User.digest(remember_token))
remember_digest
end
＝＝＝＝＝＝
というコードでも同じくDBの保存に手間取っていまして
update(remember_digest: User.digest(remember_token))の箇所にbyebugを挟んでremember_tokenの内容(tlxssKISNKaK-d6XI6m0SA)を確認した後、
update!(remember_digest: User.digest(remember_token)).errors.full_messagesを実行すると
何故か
＝＝＝＝＝＝＝＝＝＝
*** ActiveRecord::RecordInvalid Exception: Validation failed: Password can't be blank, Password is too short (minimum is 6 characters)
＝＝＝＝＝＝＝＝＝＝
と何故かパスワードで注意されてしまいます。
これは何故だかわかりませんでしょうか・・・。
（最初の質問と段々ずれている自覚はありますので別スレッドを立てた方が良い場合はそうさせてもらいます。)

[shinoharat]

パスワードの検証が常にONになっているのが原因ではないかと思います。
先ほど解説した通り、password は password_digest を作るための一時的な入れ物です。
なので、パスワード登録済みのユーザーでも、 user.password が nil になる場合があります。
パスワードの validates に allow_nil: true オプションを加えることで改善できると思います。

以下のリンク先の回答欄に詳細な解説を載せていますので、またご確認ください。
https://teratail.com/questions/325751#reply-451535

[sdka]

リンクの添付までありがとうございます。とても参考になりました。
最後に質問なのですがallow_nil: trueをmodelファイルのpasswordに追加してしまうと新規の入力フォームからのpasswordデータが空の場合もバリテーションがすり抜けてしまうのではと思いました。
これは別の所で補っているのでしょうか？

[shinoharat]

入力フォームのpasswordデータが空の場合は、
{ users: { password: "", password_confirmation: "" } }
のようなパラメータが送信されます。
password の値が「nil」ではなく「空文字」なので、正常に validation が働いてくれます。

ちなみに、nil と空文字を区別する点に「コードのニオイ」を感じる場合は、代わりに on オプションを使っても OK です。
コード量は若干増えますが、分かりやすさは増すと思います。
https://railsguides.jp/active_record_validations.html#on

[sdka]

ありがとうございます！一通り疑問点も解決しました！
ベストアンサーに選びたいので簡単にまとめたものを回答欄に投稿していただくかそれが面倒なら適当なものを解答欄に打ち込んでもらえればBAにさせて頂きます！