module ActionController::HttpAuthentication::Token

HTTP-аутентификация с `Token`

Простой пример с `Token`

class PostsController < ApplicationController
  TOKEN = "secret"

  before_action :authenticate, except: [ :index ]

  def index
    render plain: "Everyone can see me!"
  end

  def edit
    render plain: "I'm only accessible if you know the password"
  end

  private
    def authenticate
      authenticate_or_request_with_http_token do |token, options|
        # Compare the tokens in a time-constant manner, to mitigate
        # timing attacks.
        ActiveSupport::SecurityUtils.secure_compare(token, TOKEN)
      end
    end
end

Вот более сложный пример с Token, в котором HTTP-аутентификацией с токеном защищены только Atom-ленты и XML API. Обычный HTML-интерфейс защищён с помощью сеансов:

class ApplicationController < ActionController::Base
  before_action :set_account, :authenticate

  private
    def set_account
      @account = Account.find_by(url_name: request.subdomains.first)
    end

    def authenticate
      case request.format
      when Mime[:xml], Mime[:atom]
        if user = authenticate_with_http_token { |t, o| @account.users.authenticate(t, o) }
          @current_user = user
        else
          request_http_token_authentication
        end
      else
        if session_authenticated?
          @current_user = @account.users.find(session[:authenticated][:user_id])
        else
          redirect_to(login_url) and return false
        end
      end
    end
end

В интеграционных тестах можно сделать примерно так:

def test_access_granted_from_xml
  authorization = ActionController::HttpAuthentication::Token.encode_credentials(users(:dhh).token)

  get "/notes/1.xml", headers: { 'HTTP_AUTHORIZATION' => authorization }

  assert_equal 200, status
end

На общих хостингах Apache иногда не передаёт заголовки аутентификации экземплярам FCGI. Если это описание соответствует вашей среде и вы не можете пройти аутентификацию, попробуйте добавить это правило в конфигурацию Apache:

RewriteRule ^(.*)$ dispatch.fcgi [E=X-HTTP_AUTHORIZATION:%{HTTP:Authorization},QSA,L]

Константы

AUTHN_PAIR_DELIMITERS
TOKEN_KEY
TOKEN_REGEX

Открытые методы экземпляра

authenticate (controller, &login_procedure) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 472
def authenticate(controller, &login_procedure)
  token, options = token_and_options(controller.request)
  unless token.blank?
    login_procedure.call(token, options)
  end
end

Если присутствует заголовок Authorization с токеном, вызывает процедуру входа с имеющимися токеном и параметрами.

Возвращает значение, возвращённое login_procedure, если токен найден. Возвращает nil, если токен не найден.

`Parameters`

controller — экземпляр ActionController::Base для текущего запроса.
login_procedure — Proc, вызываемый при наличии токена. Proc должен принимать два аргумента:
```
authenticate(controller) { |token, options| ... }
```

authentication_request (controller, realm, message = nil) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 555
def authentication_request(controller, realm, message = nil)
  message ||= "HTTP Token: Access denied.\n"
  controller.headers["WWW-Authenticate"] = %(Token realm="#{realm.tr('"', "")}")
  controller.__send__ :render, plain: message, status: :unauthorized
end

Устанавливает заголовок WWW-Authenticate, чтобы сообщить клиенту о необходимости токена.

Ничего не возвращает.

`Parameters`

controller — экземпляр ActionController::Base для исходящего ответа.
realm — область защиты String, используемая в заголовке.

encode_credentials (token, options = {}) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 539
def encode_credentials(token, options = {})
  values = ["#{TOKEN_KEY}#{token.to_s.inspect}"] + options.map do |key, value|
    "#{key}=#{value.to_s.inspect}"
  end
  "Token #{values * ", "}"
end

Кодирует заданные токен и параметры в значение заголовка Authorization.

Возвращает String.

`Parameters`

token — токен String.
options — необязательный Hash параметров.

params_array_from (raw_params) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 507
def params_array_from(raw_params)
  raw_params.map { |param| param.split %r/=(.+)?/ }
end

Принимает raw_params и преобразует его в массив параметров.

raw_params (auth) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 519
def raw_params(auth)
  _raw_params = auth.sub(TOKEN_REGEX, "").split(AUTHN_PAIR_DELIMITERS).map(&:strip)
  _raw_params.reject!(&:empty?)

  if !_raw_params.first&.start_with?(TOKEN_KEY)
    _raw_params[0] = "#{TOKEN_KEY}#{_raw_params.first}"
  end

  _raw_params
end

Этот метод принимает тело авторизации и разделяет пары ключ-значение по стандартным разделителям :, ; или \t, определённым в AUTHN_PAIR_DELIMITERS.

rewrite_param_values (array_params) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 512
def rewrite_param_values(array_params)
  array_params.each { |param| (param[1] || +"").gsub! %r/^"|"$/, "" }
end

Удаляет символы ", которыми обрамлено значение.

token_and_options (request) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 494
def token_and_options(request)
  authorization_request = request.authorization.to_s
  if authorization_request[TOKEN_REGEX]
    params = token_params_from authorization_request
    [params.shift[1], Hash[params].with_indifferent_access]
  end
end

Извлекает токен и параметры из заголовка Authorization с токеном. Ожидается, что значение заголовка Authorization будет иметь префикс "Token" или "Bearer". Если заголовок выглядит так:

Authorization: Token token="abc", nonce="def"

то возвращаемый токен — "abc", а параметры — {nonce: "def"}.

Возвращает Array из [String, Hash], если токен присутствует. Возвращает nil, если токен не найден.

`Parameters`

request — экземпляр ActionDispatch::Request с текущими заголовками.

token_params_from (auth) Показать исходный код

# File actionpack/lib/action_controller/metal/http_authentication.rb, line 502
def token_params_from(auth)
  rewrite_param_values params_array_from raw_params auth
end

module ActionController::HttpAuthentication::Token

HTTP-аутентификация с Token

Простой пример с Token

Parameters

Parameters

Parameters

Parameters

HTTP-аутентификация с `Token`

Простой пример с `Token`

`Parameters`

`Parameters`

`Parameters`

`Parameters`