Аутентификация Rails с OAuth 2.0 и OmniAuth

Это третья статья в серии Аутентификация с помощью Rails . Мы создали классические системы аутентификации по логину / паролю с такими функциями, как «Запомнить меня», «Сброс пароля», «Подтверждение электронной почты» и т. П.

Сегодня мы поговорим об аутентификации через социальные сети с помощью протокола OAuth 2 . Мы обсудим OmniAuth и четыре его стратегии: Twitter, Facebook, Google+ и LinkedIn, которые позволяют пользователям входить в любую сеть, которая им нравится. Я научу вас, как интегрировать каждую стратегию, настраивать ее и обрабатывать ошибки.

Исходный код этой статьи доступен на GitHub .

Работающую демонстрацию можно найти на сайте pointpoint-oauth2.herokuapp.com .

OAuth 2 и OmniAuth

OAuth 2 — это протокол авторизации, который позволяет сторонним приложениям получать ограниченный доступ к службе HTTP. Одним из основных аспектов этого протокола является токен доступа, который выдается приложению. Этот токен используется приложением для выполнения различных действий от имени пользователя. Однако он не может выполнить то, что не было одобрено (например, пользователь может разрешить приложению только получать информацию о друзьях, но не размещать его на стене пользователя).

Это здорово, потому что ни при каких обстоятельствах стороннее приложение не должно получать доступ к паролю пользователя. Он получает только специальный токен, срок действия которого истекает через некоторое время (обычно пользователи могут также отозвать доступ вручную) и может использоваться только для выполнения списка утвержденных задач, называемого областью действия .

Как идентифицировать стороннее приложение? Ну, если говорить о социальных сетях, приложение должно быть зарегистрировано в первую очередь. Разработчик предоставляет URL-адрес приложения, имя, контактные данные и другую информацию, которая будет видна пользователю. Затем поставщик авторизации (Twitter или Facebook) выдает пару ключей, которая однозначно идентифицирует приложение для социальной сети / провайдера.

Вот упрощенный обзор того, что происходит, когда пользователь посещает приложение и пытается пройти аутентификацию через социальную сеть:

• Пользователь нажимает ссылку «Войти»
• Пользователь перенаправлен на сайт социальной сети. Данные приложения ( client_id ) отправляются для идентификации
• Пользователь видит данные приложения (например, имя, логотип, описание и т. Д.) И какие действия он хочет выполнить от его имени (область действия). Думайте об этом, как будто вы приходите к пользователю и говорите: «Эй, меня зовут Джек, и я хочу получить список всех ваших друзей! Если вы согласны, я покажу вам интересную статистику о них ».
• Если пользователь не доверяет этому приложению, он просто отменяет авторизацию
• Если пользователь доверяет приложению, авторизация утверждается, и пользователь перенаправляется обратно в приложение (через URL обратного вызова ). Информация об аутентифицированном пользователе и сгенерированном токене (иногда с секретным ключом) отправляется вместе.

Существует множество сервисов, которые поддерживают аутентификацию OAuth 2, поэтому для стандартизации процесса создания решений для аутентификации Intridea, Inc. был создан OmniAuth. Он поддерживает все, от OAuth 2 до LDAP. В этой статье мы сосредоточимся на omniauth-oauth2 , абстрактной стратегии OAuth 2. По сути, он используется как строительный блок для простого создания стратегий аутентификации. Вот огромный список всех стратегий, доступных для OmniAuth (он также включает в себя те, которые не связаны с OAuth 2).

Стандартный подход к стратегиям — это здорово, потому что вы можете интегрировать столько, сколько хотите, без проблем. Тем не менее, вы должны помнить, что некоторые социальные сети могут возвращать разные данные об аутентифицирующем пользователе, поэтому проверка работы вашего приложения абсолютно необходима (я покажу вам несколько примеров по этому поводу).

Если вы никогда не интегрировали OAuth 2 в приложение, это может показаться сложным, но не волнуйтесь, скоро это станет очень понятным! Приятно учиться на собственном примере, поэтому давайте погрузимся в код и создадим что-то необычное.

Подготовка демо-приложения

Хорошо, создайте простое приложение, позволяющее пользователям проходить аутентификацию через одну из представленных социальных сетей. Я звоню в мой SocialFreak:

 $ rails new SocialFreak -T 

Rails 4 будет использоваться для этой демонстрации, но Rails 3 должен работать так же хорошо.

 [...] gem 'bootstrap-sass' [...] 

 $ bundle install 

 @import "bootstrap-sprockets"; @import "bootstrap"; @import 'bootstrap/theme'; 

 [...] <nav class="navbar navbar-inverse"> <div class="container"> <div class="navbar-header"> <%= link_to 'Social Freak', root_path, class: 'navbar-brand' %> </div> <div id="navbar"> <ul class="nav navbar-nav"> </ul> </div> </div> </nav> <div class="container"> <% flash.each do |key, value| %> <div class="alert alert-<%= key %>"> <%= value %> </div> <% end %> <%= yield %> </div> [...] 

 [...] root to: 'pages#index' [...] 

 class PagesController < ApplicationController def index end end 

 <div class="jumbotron"> <h1>Welcome!</h1> <p>Authenticate via one of the social networks to get started.</p> </div> 

 [...] gem 'omniauth-twitter' [...] 

 $ bundle install 

 Rails.application.config.middleware.use OmniAuth::Builder do provider :twitter, ENV['TWITTER_KEY'], ENV['TWITTER_SECRET'] end 

 [...] get '/auth/:provider/callback', to: 'sessions#create' [...] 

 [...] <ul class="nav navbar-nav"> <li><%= link_to 'Twitter', '/auth/twitter' %></li> </ul> [...] 

 class SessionsController < ApplicationController def create render text: request.env['omniauth.auth'].to_yaml end end 

 $ rails g model User provider:string uid:string name:string location:string image_url:string url:string 

 [...] t.string :provider, null: false t.string :uid, null: false add_index :users, :provider add_index :users, :uid add_index :users, [:provider, :uid], unique: true [...] 

 $ rake db:migrate 

 [...] def create begin @user = User.from_omniauth(request.env['omniauth.auth']) session[:user_id] = @user.id flash[:success] = "Welcome, #{@user.name}!" rescue flash[:warning] = "There was an error while trying to authenticate you..." end redirect_to root_path end [...] 

 [...] class << self def from_omniauth(auth_hash) user = find_or_create_by(uid: auth_hash['uid'], provider: auth_hash['provider']) user.name = auth_hash['info']['name'] user.location = auth_hash['info']['location'] user.image_url = auth_hash['info']['image'] user.url = auth_hash['info']['urls']['Twitter'] user.save! user end end [...] 

 [...] private def current_user @current_user ||= User.find_by(id: session[:user_id]) end helper_method :current_user [...] 

 [...] <nav class="navbar navbar-inverse"> <div class="container"> <div class="navbar-header"> <%= link_to 'Social Freak', root_path, class: 'navbar-brand' %> </div> <div id="navbar"> <% if current_user %> <ul class="nav navbar-nav pull-right"> <li><%= image_tag current_user.image_url, alt: current_user.name %></li> <li><%= link_to 'Log Out', logout_path, method: :delete %></li> </ul> <% else %> <ul class="nav navbar-nav"> <li><%= link_to 'Twitter', '/auth/twitter' %></li> </ul> <% end %> </div> </div> </nav> [...] 

 [...] delete '/logout', to: 'sessions#destroy' [...] 

 [...] def destroy if current_user session.delete(:user_id) flash[:success] = 'See you!' end redirect_to root_path end [...] 

 <% if current_user %> <div class="page-header"> <h1>Here is some info about you...</h1> </div> <div class="panel panel-default"> <div class="panel-body"> <ul> <li><strong>Name:</strong> <%= current_user.name %></li> <li><strong>Provider:</strong> <%= current_user.provider %></li> <li><strong>uID:</strong> <%= current_user.uid %></li> <li><strong>Location:</strong> <%= current_user.location %></li> <li><strong>Avatar URL:</strong> <%= current_user.image_url %></li> <li><strong>URL:</strong> <%= current_user.url %></li> </ul> </div> </div> <% else %> <%= render 'welcome' %> <% end %> 

 <div class="jumbotron"> <h1>Welcome!</h1> <p>Authenticate via one of the social networks to get started.</p> </div> 

 [...] gem 'omniauth-facebook' [...] 

 $ bundle install 

 [...] provider :facebook, ENV['FACEBOOK_KEY'], ENV['FACEBOOK_SECRET'] [...] 

 [...] provider :facebook, ENV['FACEBOOK_KEY'], ENV['FACEBOOK_SECRET'], scope: 'public_profile', info_fields: 'id,name,link' [...] 

 [...] <li><%= link_to 'Facebook', '/auth/facebook' %></li> [...] 

 [...] user.url = auth_hash['info']['urls'][user.provider.capitalize] [...] 

 [...] gem "omniauth-google-oauth2" [...] 

 $ bundle install 

 [...] provider :google_oauth2, ENV["GOOGLE_CLIENT_ID"], ENV["GOOGLE_SECRET"] [...] 

 [...] provider :google_oauth2, ENV["GOOGLE_CLIENT_ID"], ENV["GOOGLE_SECRET"], scope: 'profile', image_aspect_ratio: 'square', image_size: 48, access_type: 'online' [...] 

 [...] user.url = auth_hash['info']['urls'][user.provider.capitalize] [...] 

 :urls => { :Google => "https://plus.google.com/xxx" } 

 [...] provider :google_oauth2, ENV["GOOGLE_CLIENT_ID"], ENV["GOOGLE_SECRET"], scope: 'profile', image_aspect_ratio: 'square', image_size: 48, access_type: 'online', name: 'google' [...] 

 [...] <li><%= link_to 'Google+', '/auth/google' %></li> [...] 

 [...] gem 'omniauth-linkedin-oauth2' [...] 

 $ bundle install 

 [...] provider :linkedin, ENV['LINKEDIN_KEY'], ENV['LINKEDIN_SECRET'] [...] 

 [...] provider :linkedin, ENV['LINKEDIN_KEY'], ENV['LINKEDIN_SECRET'], scope: 'r_basicprofile', fields: ['id', 'first-name', 'last-name', 'location', 'picture-url', 'public-profile-url'] [...] 

 [...] <li><%= link_to 'LinkedIn', '/auth/linkedin' %></li> [...] 

 class << self def from_omniauth(auth_hash) user = find_or_create_by(uid: auth_hash['uid'], provider: auth_hash['provider']) user.name = auth_hash['info']['name'] user.location = get_social_location_for user.provider, auth_hash['info']['location'] user.image_url = auth_hash['info']['image'] user.url = get_social_url_for user.provider, auth_hash['info']['urls'] user.save! user end private def get_social_location_for(provider, location_hash) case provider when 'linkedin' location_hash['name'] else location_hash end end def get_social_url_for(provider, urls_hash) case provider when 'linkedin' urls_hash['public_profile'] else urls_hash[provider.capitalize] end end end 

 [...] nav { img { max-width: 48px; } } 

 [...] begin @user = User.from_omniauth(request.env['omniauth.auth']) session[:user_id] = @user.id flash[:success] = "Welcome, #{@user.name}!" rescue flash[:warning] = "There was an error while trying to authenticate you..." end [...] 

 [...] OmniAuth.config.on_failure = Proc.new do |env| SessionsController.action(:auth_failure).call(env) end 

 [...] def auth_failure redirect_to root_path end [...] 

 [...] OmniAuth.config.on_failure do |env| error_type = env['omniauth.error.type'] new_path = "#{env['SCRIPT_NAME']}#{OmniAuth.config.path_prefix}/failure?message=#{error_type}" ,[301, {'Location' => new_path, 'Content-Type' => 'text/html'}, []] end