Магическая Аутентификация с Волшебством

 [...] validates :email, uniqueness: true, email_format: { message: 'has invalid format' } [...] 

Теперь мы можем быть уверены, что электронная почта имеет правильный формат. Самое время перейти к контроллерам.

Зарегистрироваться

Потребуются два контроллера: один для обработки регистрации пользователей (и, возможно, обновления или удаления профиля), а другой — для входа и выхода.

Начнем с регистрации. Вызовите этот контроллер UsersController :

users_controller.rb

 class UsersController < ApplicationController def new @user = User.new end def create @user = User.new(user_params) if @user.save flash[:success] = 'Welcome!' redirect_to root_path else render 'new' end end private def user_params params.require(:user).permit(:email, :password, :password_confirmation, :name) end end 

Вид:

просмотров / пользователей / new.html.erb

 <h1>Registration</h1> <%= form_for @user do |f| %> <%= render 'shared/errors', object: @user %> <div class="form-group"> <%= f.label :name %> <%= f.text_field :name, class: 'form-control', required: true %> </div> <div class="form-group"> <%= f.label :email %> <%= f.email_field :email, class: 'form-control', required: true %> </div> <div class="form-group"> <%= f.label :password %> <%= f.password_field :password, class: 'form-control', required: true %> </div> <div class="form-group"> <%= f.label :password_confirmation %> <%= f.password_field :password_confirmation, class: 'form-control', required: true %> </div> <%= f.submit 'Register', class: 'btn btn-primary btn-lg' %> <% end %> 

Колдовство использует гем bcrypt-ruby для защиты паролей. Это означает, что пароль никогда не сохраняется в виде простого текста — в базе данных присутствует только их дайджест (в поле crypted_password ). Следовательно, password и password_confirmation являются виртуальными атрибутами без соответствующих полей таблицы.

Возможно, вы также заметили поле salt — это случайная строка, используемая для дополнительной защиты пароля. Видите ли, дайджесты, сгенерированные хэш-функциями , практически невозможно инвертировать и восстановить в исходное сообщение. Однако можно создать словарь слов и соответствующие дайджесты. Поскольку одно и то же сообщение всегда имеет один и тот же дайджест, злоумышленник, получивший доступ к базе данных, может искать дайджест в словаре и искать соответствующую строку. Соль предназначена для предотвращения таких атак. Он генерируется, когда пользователь впервые создается и используется в процессе хеширования следующим образом:

 hash(salt + password) 

Невозможно построить словарь для каждой уникальной соли, поэтому пароль становится действительно защищенным. Вы можете прочитать больше здесь .

Кстати, вы можете использовать другие алгоритмы шифрования , переопределив user.encryption_algorithm = внутри файла config / initializers / sorcery.rb .

Давайте добавим маршруты:

конфиг / routes.rb

 [...] resources :users, only: [:new, :create] get '/sign_up', to: 'users#new', as: :sign_up [...] 

Хорошо, теперь пользователи могут зарегистрироваться, но они не будут авторизованы по умолчанию. Для этого можно использовать метод login в login который принимает как минимум два аргумента: адрес электронной почты и пароль. Добавьте его в контроллер:

 [...] def create @user = User.new(user_params) if @user.save login(params[:user][:email], params[:user][:password]) [...] 

 class SessionsController < ApplicationController def new end def create if login(params[:email], params[:password]) flash[:success] = 'Welcome back!' redirect_to root_path else flash.now[:warning] = 'E-mail and/or password is incorrect.' render 'new' end end def destroy logout flash[:success] = 'See you!' redirect_to log_in_path end end 

 <h1>Log In</h1> <%= form_tag sessions_path, method: :post do %> <div class="form-group"> <%= label_tag :email %> <%= email_field_tag :email, nil, class: 'form-control', required: true %> </div> <div class="form-group"> <%= label_tag :password %> <%= password_field_tag :password, nil, class: 'form-control', required: true %> </div> <%= submit_tag 'Log In', class: 'btn btn-primary btn-lg' %> <% end %> 

 [...] resources :sessions, only: [:new, :create, :destroy] get '/log_in', to: 'sessions#new', as: :log_in delete '/log_out', to: 'sessions#destroy', as: :log_out [...] 

 [...] <div id="navbar"> <ul class="nav navbar-nav"> <% if current_user %> <li><%= link_to 'Secret Page', secret_path %></li> <% else %> <li><%= link_to 'Sign Up', sign_up_path %></li> <li><%= link_to 'Log In', log_in_path %></li> <% end %> </ul> <% if current_user %> <ul class="nav navbar-nav pull-right"> <li><span><%= current_user.name %></span></li> <li><%= link_to 'Log Out', log_out_path, method: :delete %></li> </ul> <% end %> </div> [...] 

 [...] before_action :require_login [...] 

 [...] skip_before_action :require_login, only: [:new, :create] [...] 

 [...] skip_before_action :require_login, except: [:destroy] [...] 

 [...] # What controller action to call for non-authenticated users. You can also # override the 'not_authenticated' method of course. # Default: `:not_authenticated` # # config.not_authenticated_action = [...] 

 [...] private def not_authenticated flash[:warning] = 'You have to authenticate to access this page.' redirect_to log_in_path end [...] 

 [...] def create if login(params[:email], params[:password]) flash[:success] = 'Welcome back!' redirect_back_or_to root_path [...] 

 $ rails g sorcery:install remember_me --only-submodules 

 $ rake db:migrate 

 [...] Rails.application.config.sorcery.submodules = [:remember_me] [...] 

 [...] <%= form_tag sessions_path, method: :post do %> [...] <div class="form-group"> <%= label_tag :remember_me %> <%= check_box_tag :remember_me %> </div> [...] <% end %> 

 [...] def create if login(params[:email], params[:password], params[:remember_me]) flash[:success] = 'Welcome back!' redirect_back_or_to root_path else flash.now[:warning] = 'E-mail and/or password is incorrect.' render 'new' end end [...] 

 $ rails g sorcery:install user_activation --only-submodules 

 $ rake db:migrate 

 [...] Rails.application.config.sorcery.submodules = [:user_activation] [...] 

 [...] user.user_activation_mailer = UserMailer [...] 

 $ rails g mailer UserMailer activation_needed_email activation_success_email 

 class UserMailer < ApplicationMailer def activation_needed_email(user) @user = user mail(to: user.email, subject: "Account activation") end def activation_success_email(user) @user = user mail(to: user.email, subject: "Your account is now activated") end end 

 <p>Welcome, <%= @user.name %>!</p> <p>To login to the site, just follow <%= link_to 'this link', activate_user_url(@user.activation_token) %>.</p> <p>Thanks for joining and have a great day!</p> 

 <p>Congratulations, <%= @user.name %>!</p> <p>You have successfully activated your account.</p> <p>You may now proceed to <%= link_to 'log in page', log_in_url %>.</p> <p>Thanks for joining and have a great day!</p> 

 [...] config.action_mailer.default_url_options = { host: '127.0.0.1:3000' } [...] 

 [...] resources :users, only: [:new, :create] do member do get :activate end end [...] 

 [...] skip_before_action :require_login def activate if @user = User.load_from_activation_token(params[:id]) @user.activate! flash[:success] = 'User was successfully activated.' redirect_to log_in_path else flash[:warning] = 'Cannot activate this user.' redirect_to root_path end end [...] 

 [...] gem 'delayed_job_active_record' # or gem 'delayed_job_mongoid' [...] 

 $ bundle install 

 $ rails generate delayed_job:active_record $ rake db:migrate 

 [...] config.active_job.queue_adapter = :delayed_job [...] 

 [...] module Sorcery module Model module InstanceMethods def generic_send_email(method, mailer) config = sorcery_config mail = config.send(mailer).delay.send(config.send(method), self) end end end end 

 $ rake jobs:work 

 $ rails s 

 [Worker(host:xxx pid:7128)] Job UserMailer.send (id=1) RUNNING [Worker(host:xxx pid:7128)] Job UserMailer.send (id=1) COMPLETED after 2.2951 [Worker(host:xxx pid:7128)] 1 jobs processed at 0.4057 j/s, 0 failed 

 $ rails g sorcery:install brute_force_protection --only-submodules 

 $ rake db:migrate 

 [...] Rails.application.config.sorcery.submodules = [:brute_force_protection] [...] 

 [...] def create u = User.load_from_unlock_token(params[:token]) u.unlock! flash[:success] = 'Your account was unlocked!' redirect_to root_url end [...] 

 $ rails g sorcery:install activity_logging --only-submodules 

 $ rake db:migrate 

 [...] Rails.application.config.sorcery.submodules = [:activity_logging] [...] 

 [...] private def current_users User.current_users end helper_method :current_users [...] 

 [...] class << self def current_users where("#{sorcery_config.last_activity_at_attribute_name} IS NOT NULL") \ .where("#{sorcery_config.last_logout_at_attribute_name} IS NULL OR #{sorcery_config.last_activity_at_attribute_name} > #{sorcery_config.last_logout_at_attribute_name}") \ .where("#{sorcery_config.last_activity_at_attribute_name} > ? ", sorcery_config.activity_timeout.seconds.ago.utc.to_s(:db)) end end [...] 

 [...] <div class="col-sm-9"> <%= yield %> </div> <%= render 'shared/current_users' %> [...] 

 <div class="col-sm-3 well well-sm"> <h3>Currently active users:</h3> <ul> <% current_users.each do |user| %> <li><%= user.name %></li> <% end %> </ul> </div> 

 $ rails g sorcery:install reset_password --only-submodules 

 [...] Rails.application.config.sorcery.submodules = [:reset_password] [...] 

 <p><%= link_to 'Forgot your password?', new_reset_password_>path %></p> 

 [...] resources :reset_passwords, only: [:new, :create, :update, :edit] [...] 

 class ResetPasswordsController < ApplicationController skip_before_filter :require_login def new end end 

 <h1>Reset Password</h1> <%= form_tag reset_passwords_path, method: :post do %> <div class="form-group"> <%= label_tag :email %> <%= text_field_tag :email, nil, class: 'form-control', required: true %> </div> <%= submit_tag "Send reset instructions", class: 'btn btn-primary btn-lg' %> <% end %> 

 [...] def create @user = User.find_by_email(params[:email]) @user.deliver_reset_password_instructions! if @user flash[:success] = 'Instructions have been sent to your email.' redirect_to log_in_path end [...] 

 [...] def reset_password_email(user) @user = user @url = edit_reset_password_url(@user.reset_password_token) mail(to: user.email, subject: "Your password has been reset") end [...] 

 <p>Hello, <%= @user.name %>!</p> <p>Someone (hopefully, you) have requested to reset your password.</p> <p>To choose a new password, follow this link: <%= link_to @url, @url %>.</p> 

 [...] user.reset_password_mailer = UserMailer [...] 

 [...] def edit @token = params[:id] @user = User.load_from_reset_password_token(@token) not_authenticated if @user.blank? end [...] 

 <h1>Choose a new password</h1> <%= form_for @user, url: reset_password_path(@token), method: :patch do |f| %> <%= render 'shared/errors', object: @user %> <div class="form-group"> <%= f.label :password %> <%= f.password_field :password, class: 'form-control', required: true %> </div> <div class="form-group"> <%= f.label :password_confirmation %> <%= f.password_field :password_confirmation, class: 'form-control', required: true %> </div> <%= f.submit 'Set password', class: 'btn btn-primary btn-lg' %> <% end %> 

 [...] def update @token = params[:id] @user = User.load_from_reset_password_token(@token) not_authenticated && return if @user.blank? @user.password_confirmation = params[:user][:password_confirmation] if @user.change_password!(params[:user][:password]) flash[:success] = 'Password was successfully updated.' redirect_to log_in_path else render "edit" end end [...]