Mar 24, 2020

静的型付け言語原理主義者によるRailsチュートリアル（第11章）

第11章アカウントの有効化

現時点で新規登録ユーザーは最初からすべての機能にアクセスできるようになっている
- アカウントを有効化するステップを新規登録の途中に差し込むことで、メールアドレスの有効性を確認できるようにする
  - 有効化トークンやダイジェストを関連付けておいた状態で
  - 有効化トークンを含めたリンクをユーザーにメールで送信し
  - ユーザーがそのリンクをクリックすると有効化できるようにする
アカウントを有効化する段取り
- ユーザーの初期状態は unactivated にしておく
- ユーザー登録されたときに有効化トークンとそれに対応する有効化ダイジェストを生成する
- 有効化ダイジェストは DB に保存しておき、有効化トークンはメールアドレスと一緒にユーザーに送信する有効化用メールのリンクに仕込んでおく
- ユーザーがメールのリンクをクリックしたら、アプリケーションはメールアドレスをキーにしてユーザーを探し、DB 内に保存しておいた有効化ダイジェストと比較することでトークンを認証する
- ユーザーを認証できたら、ユーザーのステータスを activated に変更する

11.1 AccountActivationsリソース

セッション機能を使って、アカウントの有効化という作業をリソースとしてモデル化する
- 有効化トークンや有効化ステータスなどを User モデルに追加する

11.1.1 AccountActivations コントローラ

AccountActivations リソースを作るためにに、まずは AccountActivations コントローラを生成する
- 有効化のメールには次の URL を含めることになる

edit_account_activation_url(activation_token, ...)

上記は edit アクションへの名前付きルートが必要になるということ
- 名前付きルートを扱えるようにするために、ルーティングにアカウント有効化用の resources 行を追加する

Rails.application.routes.draw do
  root   'static_pages#home'
  get    '/help',    to: 'static_pages#help'
  get    '/about',   to: 'static_pages#about'
  get    '/contact', to: 'static_pages#contact'
  get    '/signup',  to: 'users#new'
  get    '/login',   to: 'sessions#new'
  post   '/login',   to: 'sessions#create'
  delete '/logout',  to: 'sessions#destroy'
  resources :users
  resources :account_activations, only: [:edit]
end

11.1.2 AccountActivation のデータモデル

有効化のメールには一意の有効化トークンが必要
- 仮想的属性を使ってハッシュ化した文字列を DB に保存する
続いて activated 属性を追加して論理値を取るようにする
- ユーザーが有効であるかどうかをテストできるようになる
マイグレーションを実行してデータモデルを更新する

 rails generate migration add_activation_to_users   activation_digest:string activated:boolean activated_at:datetime

activated 属性のデフォルト論理値を false にしておいてマイグレーションを実行

Activation トークンのコールバック

ユーザーの新規登録時には必ずアカウントの有効化が必要になるので、有効化トークンや有効化ダイジェストはユーザーオブジェクトが作成される前に作成しておく必要がある
- オブジェクトが作成されたときだけコールバックを呼びたいので before_create を定義する
- コールバック内で create_activation_digest というメソッド参照を定義
- Rails は create_activation_digest メソッドを探し、ユーザーを作成する前に実行する
- User モデル内でしか使用しないので private にする
- コールバックでトークンとそれに対応するダイジェストを割り当てるため、記憶トークンや記憶ダイジェストのために作ったメソッドを使い回す
  - User.new で新しいユーザーが定義されると、activation_token 属性や activation_digest 属性が得られるようになる

class User < ApplicationRecord
  attr_accessor :remember_token, :activation_token
  before_save   :downcase_email
  before_create :create_activation_digest
  validates :name,  presence: true, length: { maximum: 50 }
  .
  .
  .
  private

    # メールアドレスをすべて小文字にする
    def downcase_email
      self.email = email.downcase
    end

    # 有効化トークンとダイジェストを作成および代入する
    def create_activation_digest
      self.activation_token  = User.new_token
      self.activation_digest = User.digest(activation_token)
    end
end

サンプルユーザーの生成とテスト

サンプルデータと fixture も更新し、テスト前のサンプルとユーザーを事前に有効化しておく
DB を初期化し、サンプルデータを生成し直して変更を反映させる

11.2 アカウント有効化のメール送信

アカウント有効化メールの送信に必要なコードを追加する
- Action Mailer ライブラリを使って User のメイラーを追加する
- Users コントローラの create アクションで有効化リンクをメール送信するために使用する
  - よくあるやつ
- メールのテンプレートはビューと同じ要領で定義できる
  - テンプレート内に有効化トークンとメールアドレスのリンクを含め使う

11.2.1 送信メールのテンプレート

メイラーはモデルやコントローラと同様に rails generate で生成可能

$ rails generate mailer UserMailer account_activation password_reset

account_activation メソッドと、password_reset メソッドが生成される
- 便利だなあ。。。相変わらず裏で何やっているか不明だけど
- 生成したメイラーごとにビューのテンプレートが2つずつ生成される
  - ひとつはテキストメール用のテンプレート
  - ひとつは HTML メール用のテンプレート
最初に生成されたテンプレートをカスタマイズして、実際に有効化メールで使えるようにする

class ApplicationMailer < ActionMailer::Base
  default from: "noreply@example.com"
  layout 'mailer'
end

次に、ユーザーを含むインスタンス変数を作成してビューで使えるようにし、user.email にメール送信する
- mail に subject として渡している引数はメールの件名

class UserMailer < ApplicationMailer

  def account_activation(user)
    @user = user
    mail to: user.email, subject: "Account activation"
  end

  def password_reset
    @greeting = "Hi"

    mail to: "to@example.org"
  end
end

テンプレートビューは通常のビューと同様に ERB で自由にカスタマイズ可能
- 挨拶文にユーザー名を含め、カスタムの有効化リンクを追加する
- リンクにはメールアドレスとトークンの両方を含める必要がある
  - Rails サーバーでユーザーをメールアドレスで検索して有効化トークンを認証できるようにするため
- AccountActivations リソースで有効化をモデル化したので、トークン自体は名前付きルートの引数で使われる

edit_account_activation_url(@user.activation_token, ...)

edit_user_url(user)

上記メソッドは次の形式の URL を生成する

http://www.example.com/users/1/edit

これに対応するアカウント有効化リンクのベース URL は次のようになる

http://www.example.com/account_activations/q5lt38hQDc_959PVoo6b7A/edit

上記 URL の q5lt38hQDc_959PVoo6b7A は new_token メソッドで生成されたもので、URLで使えるように Base64 でエンコードされている
- /user/1/edit の 1 のようなユーザー ID と同じ役割を果たす
- 特に AccountActivations コントローラの edit アクションでは params ハッシュで params[:id] として参照可能
クエリパラメータを使ってこの URL にメールアドレスも組み込んでみる

account_activations/q5lt38hQDc_959PVoo6b7A/edit?email=foo%40example.com

メールアドレスの@記号は URL では使用できない文字のためエスケープされている
Rails でクエリパラメータを設定するには、名前付きルートに対して次のようなハッシュを追加する

edit_account_activation_url(@user.activation_token, email: @user.email)

名前付きルートでクエリパラメータを定義すると、Rails が特殊な文字を自動的にエスケープしてくれる
- コントローラで params[:email] からメールアドレスを取り出すときは、自動的にエスケープを解除してくれる
  - いたれりつくせり
以上を組み合わせてアカウント有効化のテキストビューを作成する

Hi <%= @user.name %>,

Welcome to the Sample App! Click on the link below to activate your account:

<%= edit_account_activation_url(@user.activation_token, email: @user.email) %>

同様にアカウント有効化の HTML ビューも作成する

<h1>Sample App</h1>

<p>Hi <%= @user.name %>,</p>

<p>
Welcome to the Sample App! Click on the link below to activate your account:
</p>

<%= link_to "Activate", edit_account_activation_url(@user.activation_token,
                                                    email: @user.email) %>

11.2.2 送信メールのプレビュー

Rails では特殊な URL にアクセスするとメールのメッセージをプレビューすることができる
- な、なんだってー
- アプリケーションの development 環境の設定を変更する必要がある

Rails.application.configure do
  .
  .
  .
  config.action_mailer.raise_delivery_errors = true
  config.action_mailer.delivery_method = :test
  host = 'example.com' # ここをコピペすると失敗します。自分の環境に合わせてください。
  config.action_mailer.default_url_options = { host: host, protocol: 'https' }
  .
  .
  .
end

自動生成した User メイラーのプレビューファイルの更新も必要
自動生成コードのままでは動作しないので、user 変数が開発用データベースの最初のユーザーになるように定義し、それを UserMailer.account_activation の引数として渡す

# Preview all emails at http://localhost:3000/rails/mailers/user_mailer
class UserMailerPreview < ActionMailer::Preview

  # Preview this email at
  # http://localhost:3000/rails/mailers/user_mailer/account_activation
  def account_activation
    user = User.first
    user.activation_token = User.new_token
    UserMailer.account_activation(user)
  end

  # Preview this email at
  # http://localhost:3000/rails/mailers/user_mailer/password_reset
  def password_reset
    UserMailer.password_reset
  end
end

以上でプレビュー可能になる
- 摩訶不思議

11.2.3 送信メールのテスト

メールプレビューのテストを追加する
- プレビューのテストに違和感
- Rails によってテストは自動生成されている
  - おいおいおい

require 'test_helper'

class UserMailerTest < ActionMailer::TestCase

  test "account_activation" do
    mail = UserMailer.account_activation
    assert_equal "Account activation", mail.subject
    assert_equal ["to@example.org"], mail.to
    assert_equal ["from@example.com"], mail.from
    assert_match "Hi", mail.body.encoded
  end

  test "password_reset" do
    mail = UserMailer.password_reset
    assert_equal "Password reset", mail.subject
    assert_equal ["to@example.org"], mail.to
    assert_equal ["from@example.com"], mail.from
    assert_match "Hi", mail.body.encoded
  end
end

assert_match という非常に強力なメソッド
- 正規表現で文字列をテストできる
  - つよい
- テスト用ユーザーのメールアドレスをエスケープすることも可能
現在のメールの実装をテストする

require 'test_helper'

class UserMailerTest < ActionMailer::TestCase

  test "account_activation" do
    user = users(:michael)
    user.activation_token = User.new_token
    mail = UserMailer.account_activation(user)
    assert_equal "Account activation", mail.subject
    assert_equal [user.email], mail.to
    assert_equal ["noreply@example.com"], mail.from
    assert_match user.name,               mail.body.encoded
    assert_match user.activation_token,   mail.body.encoded
    assert_match CGI.escape(user.email),  mail.body.encoded
  end
end

このテストをパスするためには、テストファイル内のドメイン名を正しく設定する必要がある

Rails.application.configure do
  .
  .
  .
  config.action_mailer.delivery_method = :test
  config.action_mailer.default_url_options = { host: 'example.com' }
  .
  .
  .
end

11.2.4 ユーザーの create アクションを更新

ユーザー登録の create アクションに数行追加するだけで、メイラーをアプリケーションで実際に使うことが可能

class UsersController < ApplicationController
  .
  .
  .
  def create
    @user = User.new(user_params)
    if @user.save
      UserMailer.account_activation(@user).deliver_now
      flash[:info] = "Please check your email to activate your account."
      redirect_to root_url
    else
      render 'new'
    end
  end
  .
  .
  .
end

リダイレクト先をプロフィールページからルート URL に変更し、かつユーザーは以前のようにログインしないようになっている
- テストが失敗するので該当箇所をひとまずコメントアウト（あとで直す）
ユーザーを実際に登録してみると、メールが生成される（送信はされない）

11.3 アカウントを有効化する

メールが生成できたので、次は AccountActivations コントローラの edit アクションを書いていく

11.3.1 authenticated? メソッドの抽象化

有効化トークンとメールはそれぞれ params[:id] と params[:email] で参照できるので、次のようなコードでユーザーを検索して認証する

user = User.find_by(email: params[:email])
if user && user.authenticated?(:activation, params[:id])

authenticated? メソッドは、アカウント有効化のダイジェストと渡されたトークンが一致するかどうかをチェックする
- 以下のメソッドは記憶トークン用なのでまだ正常に動作はしない

# トークンがダイジェストと一致したらtrueを返す
def authenticated?(remember_token)
  return false if remember_digest.nil?
  BCrypt::Password.new(remember_digest).is_password?(remember_token)
end

remember_digest は User モデルの属性なので、モデル内では次のように置き換えることができる

self.remember_digest

今回は、上記コードの remember 部分を変数として扱いたい
- すなわち状況に応じて呼ぶメソッドを切り替えたい
authenticated? メソッドでは、受け取ったパラメータに応じて呼び出すメソッドを切り替える
- メタプログラミング
  - 「Rails の一見魔法のような機能（黒魔術とも呼ばれます）の多くは、Ruby のメタプログラミングによって実現されています。」
    - 黒魔術（公式）
  - 渡されたオブジェクトに「メッセージを送る」ことによって呼び出すメソッドを動的に決めることができる send メソッドを使う
    - やりすぎでは
send メソッドの仕組みを利用して、authenticated? メソッドを書き換える

def authenticated?(remember_token)
  digest = self.send("remember_digest")
  return false if digest.nil?
  BCrypt::Password.new(digest).is_password?(remember_token)
end

各引数を一般化し、文字列の式展開も利用する

def authenticated?(attribute, token)
  digest = self.send("#{attribute}_digest")
  return false if digest.nil?
  BCrypt::Password.new(digest).is_password?(token)
end

モデル内にあるコードなので selef は省略可能

def authenticated?(attribute, token)
  digest = send("#{attribute}_digest")
  return false if digest.nil?
  BCrypt::Password.new(digest).is_password?(token)
end

次のようにして authenticated? の従来の振る舞いを再現できる

user.authenticated?(:remember, remember_token)

以上を実際の User モデルに適用する

class User < ApplicationRecord
  .
  .
  .
  # トークンがダイジェストと一致したらtrueを返す
  def authenticated?(attribute, token)
    digest = send("#{attribute}_digest")
    return false if digest.nil?
    BCrypt::Password.new(digest).is_password?(token)
  end
  .
  .
  .
end

従来のテストが失敗するので、新しい authenticated? メソッドを使用するように修正する
current_user 内の抽象化した authenticated? メソッドを修正

module SessionsHelper
  .
  .
  .
  # 現在ログイン中のユーザーを返す (いる場合)
  def current_user
    if (user_id = session[:user_id])
      @current_user ||= User.find_by(id: user_id)
    elsif (user_id = cookies.signed[:user_id])
      user = User.find_by(id: user_id)
      if user && user.authenticated?(:remember, cookies[:remember_token])
        log_in user
        @current_user = user
      end
    end
  end
  .
  .
  .
end

User テスト内の抽象化した authenticated? メソッドを修正

require 'test_helper'

class UserTest < ActiveSupport::TestCase

  def setup
    @user = User.new(name: "Example User", email: "user@example.com",
                     password: "foobar", password_confirmation: "foobar")
  end
  .
  .
  .
  test "authenticated? should return false for a user with nil digest" do
    assert_not @user.authenticated?(:remember, '')
  end
end

11.3.2 edit アクションで有効化

edit アクションでは params ハッシュで渡されたメールアドレスに対応するユーザーを認証する

class AccountActivationsController < ApplicationController

  def edit
    user = User.find_by(email: params[:email])
    if user && !user.activated? && user.authenticated?(:activation, params[:id])
      user.update_attribute(:activated,    true)
      user.update_attribute(:activated_at, Time.zone.now)
      log_in user
      flash[:success] = "Account activated!"
      redirect_to user
    else
      flash[:danger] = "Invalid activation link"
      redirect_to root_url
    end
  end
end

!user.activated? は既に有効になっているユーザーを誤って再度有効化しないために必要
- 正当であろうとなかろうと、有効化が行われるユーザーはログイン状態になる
この時点ではユーザーのログイン方法を変更していないため、ユーザーの有効化にはまだなんの意味もない
- ユーザーが有効である場合にのみログインできるように修正する必要がある

class SessionsController < ApplicationController

  def new
  end

  def create
    user = User.find_by(email: params[:session][:email].downcase)
    if user && user.authenticate(params[:session][:password])
      if user.activated?
        log_in user
        params[:session][:remember_me] == '1' ? remember(user) : forget(user)
        redirect_back_or user
      else
        message  = "Account not activated. "
        message += "Check your email for the activation link."
        flash[:warning] = message
        redirect_to root_url
      end
    else
      flash.now[:danger] = 'Invalid email/password combination'
      render 'new'
    end
  end

  def destroy
    log_out if logged_in?
    redirect_to root_url
  end
end

11.3.3 有効化のテストとリファクタリング

ユーザー登録のテストにアカウント有効化のテストを追加する

require 'test_helper'

class UsersSignupTest < ActionDispatch::IntegrationTest

  def setup
    ActionMailer::Base.deliveries.clear
  end

  test "invalid signup information" do
    get signup_path
    assert_no_difference 'User.count' do
      post users_path, params: { user: { name:  "",
                                         email: "user@invalid",
                                         password:              "foo",
                                         password_confirmation: "bar" } }
    end
    assert_template 'users/new'
    assert_select 'div#error_explanation'
    assert_select 'div.field_with_errors'
  end

  test "valid signup information with account activation" do
    get signup_path
    assert_difference 'User.count', 1 do
      post users_path, params: { user: { name:  "Example User",
                                         email: "user@example.com",
                                         password:              "password",
                                         password_confirmation: "password" } }
    end
    assert_equal 1, ActionMailer::Base.deliveries.size
    user = assigns(:user)
    assert_not user.activated?
    # 有効化していない状態でログインしてみる
    log_in_as(user)
    assert_not is_logged_in?
    # 有効化トークンが不正な場合
    get edit_account_activation_path("invalid token", email: user.email)
    assert_not is_logged_in?
    # トークンは正しいがメールアドレスが無効な場合
    get edit_account_activation_path(user.activation_token, email: 'wrong')
    assert_not is_logged_in?
    # 有効化トークンが正しい場合
    get edit_account_activation_path(user.activation_token, email: user.email)
    assert user.reload.activated?
    follow_redirect!
    assert_template 'users/show'
    assert is_logged_in?
  end
end

ユーザー操作の一部をコントローラからモデルに移動するリファクタリングを行う
- activate メソッドを作成してユーザーの有効化属性を更新し、send_activation_email メソッドを作成して有効化メールを送信する
User モデルにユーザー有効化メソッドを追加

class User < ApplicationRecord
  .
  .
  .
  # アカウントを有効にする
  def activate
    update_attribute(:activated,    true)
    update_attribute(:activated_at, Time.zone.now)
  end

  # 有効化用のメールを送信する
  def send_activation_email
    UserMailer.account_activation(self).deliver_now
  end

  private
    .
    .
    .
end

ユーザーモデルオブジェクトからメールを送信する

class UsersController < ApplicationController
  .
  .
  .
  def create
    @user = User.new(user_params)
    if @user.save
      @user.send_activation_email
      flash[:info] = "Please check your email to activate your account."
      redirect_to root_url
    else
      render 'new'
    end
  end
  .
  .
  .
end

ユーザーモデルオブジェクト経由でアカウントを有効化する

class AccountActivationsController < ApplicationController

  def edit
    user = User.find_by(email: params[:email])
    if user && !user.activated? && user.authenticated?(:activation, params[:id])
      user.activate
      log_in user
      flash[:success] = "Account activated!"
      redirect_to user
    else
      flash[:danger] = "Invalid activation link"
      redirect_to root_url
    end
  end
end

11.4 本番環境でのメール送信

production 環境で実際にメールを送信できるようにしてみる
SendGrid という Heroku アドオンを利用してアカウントを検証
- Heroku アカウントにクレジットカードを設定する必要があるので割愛
starter tier というサービスを利用
- production 環境の SMTP に情報を記入する必要がある
Heroku にデプロイして完了（の体）

11.5 最後に

アカウント有効化を実装しったので、サンプルアプリケーションのユーザー登録、ログイン、ログアウトの仕組みがほぼ完成した
最後はパスワード再設定機能
- アカウント有効かと仕組みは似ている

所感

メールを用いたアカウントの有効化という、Webサービスでよくある実装を行った。複雑な実装をしなければいけないかと思いきや、ここでも Rails に乗っかるだけで簡単に実装できてしまった。裏側はどうなっているのか。。。

この章での醍醐味はやはりメタプログラミングだろう。Ruby のメタプログラミングに初めて触れたのだが、静的型付け言語原理主義者としては、動的にメソッドを切り替えるという言語仕様はなかなか受け入れられるものではない。しかしこの言語仕様が自由度の高いプログラミングを可能にしているのも事実で、Rails の黒魔術を支えているのだと実感できた。コードが壊れやすくなるとは思うが、この自由な世界からプログラミングを始めた人にとっては、静的型付け言語は自由度が低く、毎度ビルドしないといけない非常に扱いづらい言語になるのだろうなあと思えた。

第11章 アカウントの有効化