Czy to API uwierzytelniania Rails JSON (za pomocą Devise) jest bezpieczne?

Moja aplikacja Rails używa Devise do uwierzytelniania. Ma siostrzaną aplikację na iOS, a użytkownicy mogą logować się do aplikacji na iOS za pomocą tych samych poświadczeń, których używają w aplikacji internetowej. Więc potrzebuję jakiegoś API do uwierzytelniania.

Wiele podobnych pytań tutaj wskazuje na ten tutorial, ale wydaje się być nieaktualny, ponieważ moduł token_authenticatable został usunięty z Devise i niektóre linie rzucają błędy. (Używam Devise 3.2.2.) Starałem się w oparciu o to tutorial (i ten ), ale nie jestem w tym 100% pewien-czuję, że może być coś, co źle zrozumiałam lub przegapiłam.

Po pierwsze, za radą tego gist , dodałem authentication_token atrybut tekstowy do mojej tabeli users, a następnie do user.rb:

before_save :ensure_authentication_token

def ensure_authentication_token
  if authentication_token.blank?
    self.authentication_token = generate_authentication_token
  end
end

private

  def generate_authentication_token
    loop do
      token = Devise.friendly_token
      break token unless User.find_by(authentication_token: token)
    end
  end

Następnie mam następujące Kontrolery:

Api_controller.rb

class ApiController < ApplicationController
  respond_to :json
  skip_before_filter :authenticate_user!

  protected

  def user_params
    params[:user].permit(:email, :password, :password_confirmation)
  end
end

(zauważ, że mój application_controller ma linię before_filter :authenticate_user!.)

Api / sessions_controller.rb

class Api::SessionsController < Devise::RegistrationsController
  prepend_before_filter :require_no_authentication, :only => [:create ]

  before_filter :ensure_params_exist

  respond_to :json

  skip_before_filter :verify_authenticity_token

  def create
    build_resource
    resource = User.find_for_database_authentication(
      email: params[:user][:email]
    )
    return invalid_login_attempt unless resource

    if resource.valid_password?(params[:user][:password])
      sign_in("user", resource)
      render json: {
        success: true,
        auth_token: resource.authentication_token,
        email: resource.email
      }
      return
    end
    invalid_login_attempt
  end

  def destroy
    sign_out(resource_name)
  end

  protected

    def ensure_params_exist
      return unless params[:user].blank?
      render json: {
        success: false,
        message: "missing user parameter"
      }, status: 422
    end

    def invalid_login_attempt
      warden.custom_failure!
      render json: {
        success: false,
        message: "Error with your login or password"
      }, status: 401
    end
end

Api / registrations_controller.rb

class Api::RegistrationsController < ApiController
  skip_before_filter :verify_authenticity_token

  def create
    user = User.new(user_params)
    if user.save
      render(
        json: Jbuilder.encode do |j|
          j.success true
          j.email user.email
          j.auth_token user.authentication_token
        end,
        status: 201
      )
      return
    else
      warden.custom_failure!
      render json: user.errors, status: 422
    end
  end
end

Oraz w config / routes.rb :

  namespace :api, defaults: { format: "json" } do
    devise_for :users
  end

Jestem trochę poza moją głębią i jestem pewien, że jest tu coś, na co moje przyszłe ja będzie patrzeć wstecz i marudzić (zwykle jest). Niektóre iffy części:

Po pierwsze , zauważysz, że Api::SessionsController dziedziczy z Devise::RegistrationsController, podczas gdy Api::RegistrationsController dziedziczy z ApiController (mam też inne Kontrolery takie jak Api::EventsController < ApiController, które zajmują się bardziej standardowymi rzeczami odpoczynku dla innych moich modeli i nie mają zbyt dużego kontaktu z Devise.) Jest to dość brzydki układ, ale nie mogłem wymyślić innego sposobu uzyskania dostępu do metod, których potrzebuję w Api::RegistrationsController. Tutorial, do którego podlinkowałem powyżej, ma linię include Devise::Controllers::InternalHelpers, ale ten moduł został usunięty w nowszych wersjach Devise.

Po Drugie, wyłączyłem ochronę CSRF za pomocą linii skip_before_filter :verify_authentication_token. Mam wątpliwości, czy to dobry pomysł - widzę wiele sprzecznych lub trudnych do zrozumienia porad na temat tego, czy interfejsy API JSON są podatne na ataki CSRF - ale dodanie tej linii było jedynym sposobem, aby to cholerstwo zadziałało.

Po Trzecie , chcę się upewnić, że rozumiem, jak działa uwierzytelnianie po zalogowaniu się użytkownika. Powiedzmy, że mam wywołanie API GET /api/friends, które zwraca listę znajomych bieżącego użytkownika. Jak rozumiem, aplikacja na iOS musiałaby uzyskać użytkownika authentication_token z bazy danych (która jest stałą wartością dla każdego użytkownika, który nigdy się nie zmienia??GET /api/friends?authentication_token=abcdefgh1234, wtedy mój Api::FriendsController mógłby zrobić coś takiego jak User.find_by(authentication_token: params[:authentication_token]), aby uzyskać current_user. Czy to naprawdę takie proste, czy coś mi umyka?

Więc dla wszystkich, którzy zdołali przeczytać całą drogę do końca tego mamutowego pytania, dziękuję za poświęcony czas! Podsumowując:

1. czy ten system logowania jest bezpieczny? czy jest coś, co mam pomijane lub niezrozumiane, np. jeśli chodzi o ataki CSRF?
2. czy moje zrozumienie, jak uwierzytelniać żądania po zalogowaniu użytkowników, jest poprawne? (Patrz " po trzecie..."powyżej.)
3. czy jest jakiś sposób, aby ten kod mógł być oczyszczony lub ładniejszy? szczególnie brzydka konstrukcja posiadania jednego kontrolera dziedziczy z Devise::RegistrationsController, A innych z ApiController.