mobile_auth的 开发详细记录

[easyhappy]

添加类似devise_for :users 的路由方式

参见： https://github.com/plataformatec/devise/blob/master/lib/devise/rails/routes.rb

[easyhappy]

第一步 实现:

在routes.rb 中 添加
mobile_auth_for :users
然后rake routes能够关联到相关的route

【过程】
1、研究 Devise::Mapping.new(resource, options)
思考Devise 是怎么将 路由 添加到Rails.Application的 routes中去的。

2、

def mobile_auth_scope name
      constraint = lambda do |request|
        request.env["mobile_auth.mapping"] = MobileAuth.mapping[name]
        true
      end
      constraints(constraint) do
        yield
      end
    end

思考constraints 是什么东东?

参见 actionpack-4.1.4/lib/action_dispatch/routing/mapper.rb @ line 881 ActionDispatch::Routing::Mapper::Scoping#constraints

        # === Parameter Restriction 
        # Allows you to constrain the nested routes based on a set of rules.
        # For instance, in order to change the routes to allow for a dot character in the +id+ parameter:
        #
        #   constraints(id: /\d+\.\d+/) do
        #     resources :posts
        #   end

        def constraints(constraints = {})
          scope(:constraints => constraints) { yield }
        end

constraints是 就是对parameter 进行限制！！

[easyhappy]

第二步 完善mapping.rb
1、理解Devise的mapping.rb的作用?
用于 处理 devise mappings 和 route的配置， 通过devise_for 来创建 一个mapping 对象
比如：

#   map.devise_for :users
#   mapping = Devise.mappings[:user]

2、思考 ROUTES = ActiveSupport::OrderedHash.new 生成方式?
参见 Devise.add_module 方法, 会生成 ROUTES, 其中的 参数说明:

+model+ - String representing the load path to a custom model for this module (to autoload.)

+controller+ - Symbol representing the name of an existing or custom controller for this module.

+route+ - Symbol representing the named route helper for this module.

+strategy+ - Symbol representing if this module got a custom strategy.

那么什么时候， 调用Devise.add_module, 参见 module
3、active_support的 with_options是什么？

class Account < ActiveRecord::Base
  has_many :customers, dependent: :destroy
  has_many :products,  dependent: :destroy
  has_many :invoices,  dependent: :destroy
  has_many :expenses,  dependent: :destroy
end

等价于:
class Account < ActiveRecord::Base
  with_options dependent: :destroy do |assoc|
    assoc.has_many :customers
    assoc.has_many :products
    assoc.has_many :invoices
    assoc.has_many :expenses
  end
end

[easyhappy]

第三步 根据mobile_auth_for :users, 找到model User

#根据MobileAuth.ref :user 获取到对应的model User
module MobileAuth
  extend self
  def ref(arg)
    if defined? ActiveSupport::Dependencies::ClassCache
      ActiveSupport::Dependencies::reference(arg)
      Getter.new(arg)
    else
      ActiveSupport::Dependencies.ref(arg)
    end
  end
end

[easyhappy]

第四步 实现 在User中添加
mobile_auth :database_authenticatable 的功能

1、怎么适配不同的orm？比如active_record 和mongoid？
在你的项目/config/initializers/devise.rb中:

Devise.setup do |config|
  # ==> ORM configuration
  # Load and configure the ORM. Supports :active_record (default) and
  # :mongoid (bson_ext recommended) by default. Other ORMs may be
  # available as additional gems.
  require 'devise/orm/active_record'

end

2、::Rails::Engine 前面加::的作用？

从顶级作用域开始 查找

3、为什么 devise(*modules)方法被调用两次?

[easyhappy]

第五步 实现类似 config/initializers/devise.rb 中初始化配置

解决bug uninitialized constant OrmAdapter::Base?

[easyhappy]

小插曲：
Devise.config 中 有两个配置secret_key 和 pepper, 那么他们两个 分别有什么用？

[easyhappy]

小插曲:
1、了解一下: bcrypt；
bcrypt-ruby是一个用于OpenBSD bcrypt()密码哈希算法的Ruby绑定，开发者可以使用它把用户密码变成哈希数，安全地存储用户密码，预防黑客攻击

Rails中引用bcrypt-ruby导致测试速度变慢解决办法：

慢速加密的密码很难破解。慢速加密的过程会延长测试的运行时间，不过可以做个简单的设置改变这种情况。bcrypt-ruby 使用耗时因子（cost factor）设定加密过程的耗时，耗时因子的默认值倾向于安全性而不是速度，在生产环境这种设置很好，但测试时的关注点却有所不同：测试追求的是速度，而不用在意测试数据库中用户的密码强度。我们可以在“测试环境”配置文件config/environments/test.rb 中加入一行代码来解决速度慢的问题：把耗时因子的默认值修改为最小值，提升加密的速度，即使测试量很少，修改设置之后速度的提升也是很明显的(《Ruby on Rails Tutorial》)

[ruby] view plaincopy在CODE上查看代码片派生到我的代码片
ActiveModel::SecurePassword.min_cost = true

2、Devise.secure_compare 和 直接两个字符串 比较的 优缺点?

  # constant-time comparison algorithm to prevent timing attacks
  def self.secure_compare(a, b)
    require 'pry'; binding.pry
    return false if a.blank? || b.blank? || a.bytesize != b.bytesize
    l = a.unpack "C#{a.bytesize}"

    res = 0
    b.each_byte { |byte| res |= byte ^ l.shift }
    res == 0
  end

这么做的问题是 防止时序攻击

a == b 在 Ruby 内部使用 memcmp 函数进行比较, 当首次发现有两个字符不一致时, 便直接返回两个字符在 ASCII 码表中的差值. 在这样的机制下, CPU 运行的时间与字符串匹配度是有正关系的, 字符串匹配度越高, CPU 运行时间越长, 因此便可以通过对比时间差的方式逐一猜测破解.

预防计时攻击的方法通常也很简单, 使用 Constant-Time 的方式. 如上述比较摘要是否相等的示例代码, 当发现两个字符不一致时, 并没有立即返回, 而是继续比较下去, 因此使得计算时间不会变化.

[easyhappy]

第六步 完善mobile_auth :database_authenticatable 的功能

添加方法:
valid_password?
clean_up_passwords

[easyhappy]

第七步、添加Warden::Strategies

1、warden 是什么
提供了 基于rack 的authentication。

2、warden 利用 级联策略 来判断一个请求 是否 被认证。

3、使用warden 可以和其他的application 共享策略