เพิ่มความคล่องตัวในการรับรองความถูกต้องใน Ruby on Rails ด้วย Auth0:คู่มือสำหรับผู้เริ่มต้น

อ่านเพิ่มเติมเกี่ยวกับหัวข้อขอบเขตในเอกสารประกอบของ Auth0

ข้อมูลข้างต้นมีคุณค่า และคุณควรตรวจสอบให้แน่ใจว่าอย่างน้อยเมื่อเข้าสู่ระบบครั้งแรก คุณได้คัดลอกข้อมูลนั้นลงในตารางในแอปพลิเคชันของคุณ

ในการทำเช่นนั้น เราจำเป็นต้องใช้เนื้อหาของคำขอ-ตอบกลับใน 263 และโดยเฉพาะใน 273 การกระทำ:

ใช้เบรกพอยต์ก่อนการเปลี่ยนเส้นทางเพื่อเจาะลึกแฮชและการทดสอบ

เรามักจะต้องการที่อยู่อีเมลด้วย หากต้องการรับ คุณสามารถอัปเดตขอบเขต:

หลังจากโหลดเซิร์ฟเวอร์แอปพลิเคชันใหม่และทำตามขั้นตอนการเข้าสู่ระบบ คุณจะต้องให้สิทธิ์แอปพลิเคชันในการเข้าถึงข้อมูลเพิ่มเติม

ตอนนี้เราสามารถทำสิ่งนี้ได้ใน 283 การกระทำ:

สิ่งนี้จะช่วยให้มั่นใจได้ว่าเรามีโปรไฟล์ท้องถิ่นที่เป็นปัจจุบันสำหรับผู้ใช้

คำพูดในเซสชัน

เซสชันเป็นแฮชพิเศษในแอปพลิเคชัน Ruby on Rails มีพื้นที่เก็บข้อมูลจำกัดซึ่งสามารถเข้าถึงได้จากตัวควบคุมและมุมมอง และไม่ซ้ำกันสำหรับผู้เยี่ยมชมแต่ละราย

เราสามารถ "เปิด" และ "ปิด" เซสชันได้ หากเราต้องการชุดข้อมูลเฉพาะ เราสามารถตัดสินใจได้ว่าเซสชันจะเปิดอยู่ หากไม่มีข้อมูล แสดงว่าปิดแล้ว

จำบรรทัดต่อไปนี้ในตัวควบคุม Auth0 ของเรา:

อันแรกเขียนค่าใน 294 คีย์แฮชของแฮชของเซสชัน ในขณะที่อันที่สองเพิ่งล้างแฮชของเซสชัน

จากนั้นเราสามารถกำหนดวิธีการช่วยเหลือต่อไปนี้ใน 301 :

ข้อกังวลด้านความปลอดภัย

ตอนนี้ลองใช้สิ่งนี้เป็นข้อกังวลสำหรับผู้ควบคุมของเรา แนวคิดคือการกำหนดตัวควบคุมที่กำหนดให้ผู้ใช้ต้องเข้าสู่ระบบเพื่อเข้าถึงตัวควบคุม เช่น 310 ของเรา .

เราสามารถเขียนไฟล์ข้อกังวลต่อไปนี้:

จากนั้นเราก็สามารถใช้มันในคอนโทรลเลอร์ของเราได้ดังนี้:

หากผู้เยี่ยมชมไม่ได้เข้าสู่ระบบ แต่พยายามเปิด 321 หน้าเหล่านั้นจะถูกเปลี่ยนเส้นทางไปยังรูทของไซต์โดยอัตโนมัติ

การบูรณาการกับผู้ให้บริการรายอื่น

คุณสามารถพึ่งพาผู้ให้บริการหลายรายผ่าน Auth0 อย่างไรก็ตาม Google ถูกกำหนดให้เป็นค่าเริ่มต้น สำหรับหลายๆ บริษัท แค่นั้นก็เพียงพอแล้ว

หากคุณต้องการผู้ให้บริการเพิ่มเติม ให้ไปที่ การรับรองความถูกต้อง เมนูสำหรับผู้เช่าที่เกี่ยวข้องใน Auth0 จากนั้นเลือก Social เมนูย่อยที่คุณสามารถตั้งค่าผู้ให้บริการเพิ่มเติมได้

นอกจากนี้ ยังเป็นที่น่าสังเกตว่าคุณสามารถกำหนดค่าการรับรองความถูกต้องแบบหลายปัจจัย (MFA) ด้วย Auth0 ได้เช่นกัน

กระบวนการจะยังคงเหมือนเดิมยกเว้นขั้นตอนการกำหนดค่าเหล่านั้น แอปพลิเคชันของเราจะส่งคืนข้อมูลผู้เยี่ยมชมเพื่อพิสูจน์ว่าผู้เยี่ยมชมได้รับการรับรองความถูกต้องแล้วเท่านั้น

กำลังเปิดรับการอนุญาต

ตอนนี้เราสามารถตรวจสอบสิทธิ์ผู้ใช้และส่งข้อมูลไปยังแอปพลิเคชันของเราผ่านการโทรกลับ เราได้เห็นวิธีการดึงที่อยู่อีเมลของผู้ใช้ออกจากแฮชแล้ว และค้นหาผู้ใช้ที่เกี่ยวข้องในฐานข้อมูลของเรา

จากนั้น เราสามารถกำหนดนโยบายการอนุญาตได้

Pundit เป็นตัวเลือกที่ดีในการกำหนดและใช้นโยบายการอนุญาต แต่ยังต้องอาศัยการตรวจสอบบทบาทของผู้ใช้

ใช้ 337 ที่จริงแล้วแอตทริบิวต์เป็นวิธีที่ง่ายที่สุด คุณสามารถกรอกข้อมูลได้เมื่อสร้างผู้ใช้ในคอนโซล Rails หรืออินเทอร์เฟซส่วนหลังของแอปพลิเคชันของคุณ ก่อนที่ผู้ใช้จะพยายามเข้าสู่ระบบครั้งแรก

หรือคุณสามารถรับรายชื่ออีเมลของผู้ดูแลระบบและจับคู่อีเมลของผู้ใช้กับรายชื่อเมื่อสร้างผู้ใช้

แค่นั้นแหละ!

สิ่งที่เราได้กล่าวถึง

ในบทความนี้ เราได้ตั้งค่า:

• ผู้เช่าและแอปพลิเคชันใน Auth0
• อัญมณีที่เกี่ยวข้องกับ Auth0 ในแอปพลิเคชัน Ruby on Rails
• เส้นทางและมุมมองในแอปพลิเคชัน

จากนั้นเรา:

• ตรวจสอบแนวคิดของเซสชันและวิธีใช้งาน
• สร้างเครื่องมือพื้นฐานเพื่อตรวจสอบว่าผู้ใช้เข้าสู่ระบบหรือไม่
• เพิ่มข้อกังวลของผู้ควบคุมเพื่อรักษาความปลอดภัยให้กับผู้ควบคุมตามข้อกำหนดในการเข้าสู่ระบบ
• เห็นวิธีจับคู่ผู้ใช้กับบทบาทของพวกเขา

Auth0 และผู้ให้บริการการรับรองความถูกต้องอื่นๆ สามารถช่วยคุณรวมการรับรองความถูกต้องที่ล้ำสมัยในแอปพลิเคชัน Ruby on Rails ของคุณโดยไม่ต้องเขียนโค้ดมากนัก มักจะเป็นตัวเลือกที่ดีกว่าการพึ่งพาการใช้งานเลเยอร์การรับรองความถูกต้องของคุณเอง หรือแม้แต่การใช้ Gem เช่น Devise

ขอให้สนุกกับการเขียนโค้ด!

ปล. หากคุณต้องการอ่านโพสต์ Ruby Magic ทันทีที่เผยแพร่ สมัครรับจดหมายข่าว Ruby Magic ของเราและไม่พลาดแม้แต่โพสต์เดียว!

โธมัส ริบูเลต์

Thomas ผู้เขียนรับเชิญของเราเป็นที่ปรึกษาแบ็กเอนด์และวิศวกรโครงสร้างพื้นฐานคลาวด์ในฝรั่งเศส เป็นเวลากว่า 13 ปีที่เขาทำงานร่วมกับสตาร์ทอัพและบริษัทต่างๆ เพื่อขยายขนาดทีม ผลิตภัณฑ์ และโครงสร้างพื้นฐาน นอกจากนี้ เขายังได้รับการตีพิมพ์หลายครั้งในนิตยสาร GNU/Linux ของฝรั่งเศส และในบล็อกของเขา

บทความทั้งหมดโดย โทมัส ริบูเลต์