Railsセッションのしくみ

セッションは使いやすいです：

session[:current_user_id] = @user.id

しかし、それらは少し魔法のようになる可能性があります。セッションとは何ですか？ Railsは、適切なデータを適切な人に表示することをどのように知っていますか？また、セッションデータをどこに保存するかをどのように決定しますか？

セッションとは何ですか？

セッションは、1つのリクエスト中にデータを保存し、後のリクエストで読み取ることができる場所です。

コントローラアクションでいくつかのデータを設定できます：

def create
  # ...
  session[:current_user_id] = @user.id
  # ...
end

そして別の記事で読んでください：

def index
  current_user = User.find_by_id(session[:current_user_id])
  # ...
end

見えない それは面白い。ただし、すべてを接続するには、ユーザーのブラウザとRailsアプリの間で調整が必要です。そして、それはすべてクッキーから始まります。

Webページを要求すると、サーバーは応答時にCookieを設定できます：

~ jweiss$ curl -I https://www.google.com | grep Set-Cookie

Set-Cookie: NID=67=J2xeyegolV0SSneukSOANOCoeuDQs7G1FDAK2j-nVyaoejz-4K6aouUQtyp5B_rK3Z7G-EwTIzDm7XQ3_ZUVNnFmlGfIHMAnZQNd4kM89VLzCsM0fZnr_N8-idASAfBEdS; expires=Wed, 16-Sep-2015 05:44:42 GMT; path=/; domain=.google.com; HttpOnly

ブラウザはそれらのCookieを保存します。 Cookieの有効期限が切れるまで、リクエストを行うたびに、ブラウザはCookieをサーバーに送り返します：

...
> GET / HTTP/1.1
> User-Agent: curl/7.37.1
> Host: www.google.com
> Accept: */*
> Cookie: NID=67=J2xeyegolV0SSneukSOANOCoeuDQs7G1FDAK2j-nVyaoejz-4K6aouUQtyp5B_rK3Z7G-EwTIzDm7XQ3_ZUVNnFmlGfIHMAnZQNd4kM89VLzCsM0fZnr_N8-idASAfBEdS; expires=Wed, 16-Sep-2015 05:44:42 GMT; path=/; domain=.google.com; HttpOnly
...

多くのクッキーは、ぎこちないように見えます。そして、彼らはそうすることになっています。 Cookie内の情報は、ユーザー向けではないためです。 Railsアプリは、Cookieの意味を理解する役割を果たします。 アプリがそれを設定できるので、アプリはそれを読み取ることができます。

これはセッションと何の関係がありますか？

だから、あなたはクッキーを持っています。 1つのリクエスト中にデータを入力すると、次のリクエストでも同じデータが取得されます。それとセッションの違いは何ですか？

デフォルトでは、Railsでは大きな違いはありません。 RailsはCookieを処理して、Cookieをより安全にします。しかし、それに加えて、それはあなたが期待するように機能します。 RailsアプリはいくつかのデータをCookieに入れ、同じデータがCookieから出てきます。これがすべてだったとしたら、セッションとCookieを区別する理由はありません。

ただし、Cookieがセッションデータの正しい答えであるとは限りません：

• Cookieに保存できるデータは約4kbのみです。

  これは通常です 十分ですが、そうでない場合もあります。

• Cookieはリクエストごとに送信されます。

  大きなCookieは、要求と応答が大きくなることを意味します。つまり、Webサイトの速度が低下します。

• 誤ってsecret_key_baseを公開した場合 、ユーザーはCookie内に入力したデータを変更できます。

  これにcurrent_user_idなどが含まれる場合 、誰でも好きなユーザーになることができます！

• Cookie内に間違った種類のデータを保存することは安全ではない可能性があります。

注意すれば、これらは大きな問題ではありません。

ただし、次のいずれかの理由でセッションデータをCookie内に保存できない場合、Railsにはセッションを保持する場所が他にもいくつかあります。