Authentication & Authorize in Ruby on Rails (part 1 --> without JWT)

سلام، همونطور که اطلاع دارین(یعنی امیدوارم که اطلاع داشته باشین!)، میخوایم راجع به Authentication و Authorize در Ruby on Rails صحبت کنیم.قبل از اینکه شروع کنیم، خدمتتون عرض کنم که این مقاله رو در دو قسمت مینویسم.قسمت اول راجع به Authentication و Authorize صحبت میکنیم.قسمت دوم راجع به این که چطوری JWT ایجاد کنیم و ازش استفاده کنیم، صحبت خواهیم کرد.در ابتدا میریم سراغ ساخت یه پروژه ی کوچیک در rails و سپس میریم سراغ Authentication و Authorize.راستی بیاین قبل از اینکه شروع کنیم، یه لیوان چای لاهیجان(یکی از شهرستان های استان گیلان معروف به عروس گیلان) آماده کنیم و همینطور که این پروژه رو میبریم جلو، چای هم نوش جان کنیم (:میتونین از طریق گیت هابم یعنی از اینجا به این پروژه دسترسی داشته باشید.خب یه پروژه به اسم authentication_authorize_project به صورت زیر میسازیم.rails new authentication_authorize_project --apiاگه میبینین از api-- استفاده کردیم، به این دلیل که نمیخوایم برامون view ایجاد بشه. (اگه هم نمیدونین چیه هم الان مهم نیست ولی بعدا حتما گوگل کنین).بعد از اینکه پروژه ساخته شد، با دستور cd authentication_authorize_project بِرید داخل پوشه ی پروژه و دستور bundle install رو بزنین.حالا برای اینکه مطمئن باشین که همه چی اوکیه، دستور rails s رو بزنین و در مرورگرتون آدرس http://127.0.0.1:3000 رو بزنین. اگه همه چی اوکی بوده باشه، باید صفحه ای زیبا که نوشته hey! You're on Rails رو ببینین (:در این پروژه ما قصد داریم تا user رو authentication و authorize کنیم. برای این کار یک مدلِ User که فیلد های name, email, password داره رو به صورت زیر میسازیم.rails g model User name email password_digestفقط یه دستور کوچیک rails db:migrate هم بزنین که بریم سراغ مرحله ی اصلی.ما برای اینکه authentication و authorize انجام بدیم، از 'gem 'bcrypt استفاده میکنیم. برای اینکار باید بریم درون فایل Gemfile.rb در پروژه و 'gem 'bcrypt رو که در این فایل کامنت هست رو از حالت کامنت بیرون بیاریم. حالا دومرتبه دستور bundle install رو میزنیم تا gem مورد نظر ما نصب بشه.درون مدل User، متد has_secure_password رو اضافه میکنیم که تا مطمئن باشیم password به صورت encrypted درون دیتابیس ذخیره بشه. ناگفته نماند که این متد جزئی از bcrypt است.همچنین متد has_secure_password، علاوه بر کاری که در بالا خدمتتون عرض کردم، password و password_confirmation رو هم مقایسه میکنه که با هم match باشند. منتها یه مشکلی که در اینجا وجود داره، اگه nil ،password_confirmation باشه، باز هم رکورد ما در دیتابیس ذخیره میشه. برای جلوگیری از این کار، یه validates به مدل User به صورت زیر اضافه میکنیم.validates :password_confirmation, presence: trueحالا باید یه کنترولر برای user بسازید. برای اینکار از دستور زیر اسفاده کنین.rails g controller usersفایل routes.rb رو باز کنین و resource کنترولر جدید رو به صورت زیر درونش اضافه کنین.Rails.application.routes.draw do resources :users endالان بِرید داخل کنترولرِ user و یک action به اسم create ایجاد کنید. حالا میتونین مثل قطعه کد پایین، sign up کنین و user جدید رو در دیتابیس ذخیره کنین (:class UsersController < ApplicationController before_action :user_params def create @user = User.new(user_params) if @user.save render json: { message: ['Saved'] }, status: 200 else render json: { message: ['Not Saved'] }, status: 400 end end private def user_params params.permit(:name, :email, :password, :password_confirmation) end endمن برای request زدن از postman استفاده میکنم، شما میتونین از هرچی دلتون میخواد استفاده کنین.راستی، چون ما موقع ایجاد مدل User برای password از password_digest استفاده کردیم، تنها یه فیلد password که encrypted هم هست در دیتابیس ذخیره میشه.Authentication:در ابتدا یه کنترولر به اسم Sessions با اکشن های create و destroy به صورت زیر ایجاد میکنیم.rails g controller Sessions create destroyبه کد زیر با دقت نگاه کنین. در واقع ما یه سرچ زدیم تا user مورد نظرمون رو از طریق اسمی که از پارامتر بهمون میرسه، پیدا کنیم. چون ما از bcrypt استفاده کردیم، یه متدی به نام authenticate بهمون میده و کارش اینه، passwordی که بهش میدیم رو با passwordی که در دیتابیس ذخیره شده بود رو با هم مقایسه میکنه و true یا false بر میگردونه. اگه true بر گردونه، ما ID یوزر مورد نظر رو در session ذخیره میکنیم.در قسمت destroy هم session یوزری که وجود داره رو nil میکنه.class SessionsController < ApplicationController def create user = User.find_by( email: params[:email] ) if user.try(:authenticate, params[:password]) session[:user_id] = user.id render json: { message: ['Welcome'] }, status: 200 else render json: { message: ['Invalid user/password combination'] }, status: 400 end end def destroy session[:user_id] = nil render json: { message: ['Logged out'] }, status: 200 end endبریم routes های کنترولر session هم set کنیم تا بتونیم login و logout انجام بدیم.controller :sessions do post 'login' => :create delete 'logout' => :destroy endAuthorize:ما در اینجا بررسی میکنیم که دسترسی یک کاربر یا یوزر به کنترولر های مختلف سایت ما چطور هست.چون تمام کنترولر های ما از ApplicationController ارث میبرند، لذا ما متد authorize رو در ApplicationController ایجاد میکنیم.class ApplicationController < ActionController::API before_action :authorize protected def authorize unless User.find_by(id: session[:user_id]) render json: { message: ['Please log in'] }, status: 401 end end endمتد authorize قبل از شروع همه ی کنترولر ها اجرا میشه. حتی زمانی هم که login می کنیم، دومرتبه به ما ارور میده که please login. برای حل این مشکل دستور زیر رو، در کنترولر هایی که نمیخوایم قبل از شروعشون، متد authorize اجرا بشه، مینویسیم.skip_before_action :authorizeاگه سوالی هست خوش حال میشم بتونم کمکتون کنم (:امیدوارم از چایتون لذت برده باشید ((: