ミドルウェア on ララジャパン

ユーザー認証（４）認証でページを保護

Sun, 29 Nov 2015 07:46:38 +0900

ユーザー認証の目的は、ユーザー本人であることを確認し、ユーザーのプライベートの情報を他に見られることを防ぐことです。

Laravelでは、アプリにおけるすべてのルートを設定するroutes.phpのファイルにおいて、ミドルウェアを利用して保護するページを指定します。

app/Http/routes.php

Route::get('/home', ['middleware' => 'auth', function () {
    return view('auth.home');
}]);

上の例では、/homeを保護するために、ミドルウェアのauthを使用しています。authは、以下のKernel.phpで登録されているサービスです。

app/Http/Kernel.php

namespace App\Http;
use Illuminate\Foundation\Http\Kernel as HttpKernel;
class Kernel extends HttpKernel
{
    protected $middleware = [
 　 ...
    ];

    protected $routeMiddleware = [
        'auth' => \App\Http\Middleware\Authenticate::class,
        'auth.basic' => \Illuminate\Auth\Middleware\AuthenticateWithBasicAuth::class,
        'guest' => \App\Http\Middleware\RedirectIfAuthenticated::class,
    ];
}

そこでバインドされているクラスは、以下のAuthenticate.phpで定義されています。

app/Http/Middleware/Authenticate.php

namespace App\Http\Middleware;
use Closure;
use Illuminate\Contracts\Auth\Guard;
class Authenticate
{
    protected $auth;

    public function __construct(Guard $auth)
    {
        $this->auth = $auth;
    }

    public function handle($request, Closure $next)
    {
        if ($this->auth->guest()) {
            if ($request->ajax()) {
                return response('Unauthorized.', 401);
            } else {
                return redirect()->guest('auth/login');
            }
        }
        return $next($request);
    }
}

handle()内での、$this->auth->guest()は、ユーザーがゲスト、つまり認証されていないユーザーであるかどうかをチェックします。認証されていないなら、auth/loginにリダイレクトして、ログイン画面が表示されます。

routes.phpでのページ保護は、Route::groupで行うこともできます。例えば、以下のように複数のルートをまとめることができます。わかりやすいですね。

Route:: group(['prefix' => 'member', 'middleware' => 'auth'], function() {
    Route::get('index', 'MemberController@getIndex');
    Route::get('password', 'MemberController@getPassword');
    Route::post('password', MemberController@postPassword');
    Route::get('profile', 'MemberController@getProfile');
    Route::post('profile', 'MemberController@postProfile');
    Route::get('logout', 'MemberController@getLogout');
});

さらに、認証の保護しないページにおいて、すでに認証されているならスキップしてリダイレクトさせることも可能です。以下では、ログインや登録画面にアクセスしたときにすでにログインしているなら、/homeにリダイレクトされます。ミドルウェアにおいて、guestが使用されていることに注意してください。このミドルウェアも先のKernel.phpで登録されています。

Route::group(['middleware' => 'guest'], function() {
    Route::get('login', 'LoginController@getLogin');
    Route::post('login', 'LoginController@postLogin');
    Route::get('signup', 'SignupController@getSignup');
    Route::post('signup', 'SignupController@postSignup');
});

これらのミドルウェアは、routes.phpだけでなくコントローラの中でも実行できます。例えば、前回まで使用してきたAuthController.php。

namespace App\Http\Controllers\Auth;

use App\User;
use Validator;
use App\Http\Controllers\Controller;
use Illuminate\Foundation\Auth\ThrottlesLogins;
use Illuminate\Foundation\Auth\AuthenticatesAndRegistersUsers;

class AuthController extends Controller
{
    use AuthenticatesAndRegistersUsers, ThrottlesLogins;

    public function __construct()
    {
        $this->middleware('guest', ['except' => 'getLogout']);
    }

　　...
}

guestのミドルウェアをコンストラクタで使用することにより、ログアウト(getLogout)以外のメソッド、つまり会員登録（getRegisterとpostRegister）とログイン（getLoginとpostLogin)のメソッドにおいて、すでにログインしているなら/homeにリダイレクトします。

入力の空白文字のトリム（３）配列の入力値

Sun, 01 Nov 2015 06:38:36 +0900

今回は、「入力の空白文字のトリム」の最後です。

以下のようなフォームでは、入力の変数に配列を使用することできます。

<form>
...
<div>あなたの趣味を以下に記入してください：</div>
<ul>
  <li><input type="text" name="hobby[]" value=""></li>
  <li><input type="text" name="hobby[]" value=""></li>
...
</form>

これらがプログラムには、

hobby[0] = "映画鑑賞";
hobby[1] = "　読書";
hobby[2] = "テニス　";
..

という形で入ってきます。

しかし、前回のミドルウェアの定義では、このような配列には対応できませんので、以下のように書き直しました。

namespace App\Http\Middleware;

use Closure;

class TrimInput {

    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        $input = $request->all();

        $request->merge(self::trim($input));

        return $next($request);
    }

    public static function trim($value)
    {
        if (is_array($value))
        {
            $value = array_map(['self', 'trim'], $value);
        }
        elseif (is_string($value))
        {
            $value = preg_replace('/(^\s+)|(\s+$)/u', '', $value);
        }

        return $value;
    }
}

一見複雑そうに見えますが、それほどでもありません。まず、回帰を使用するためにトリムの関数を分けました。クラスメソッドとしています。他でも使用するなら自身のライブラリのメソッドとしてもよいです。そのトリムのメソッドでは、パラメが配列のときには回帰を使用して配列の個々の値をトリムします。

これに伴い、ユニットテストも書き換えました。

use Illuminate\Foundation\Testing\WithoutMiddleware;
use Illuminate\Foundation\Testing\DatabaseMigrations;
use Illuminate\Foundation\Testing\DatabaseTransactions;

class SignupTest extends TestCase
{
    use DatabaseTransactions;

    /**
     * @dataProvider providerTrimpInput
     */
    public function testTrimpInput2($data, $expected)
    {
        $input = [
            'email'                 => 'success@gmail.com',
            'password'              => 'testtest',
            'password_confirmation' => 'testtest',
            'last_name'             => $data['last_name'],
            'first_name'            => '太郎',
            'hobby'                 => $data['hobby']
        ];

        $this->visit('/signup')
            ->submitForm('保存', $input)
            ->see('会員登録完了');

        $member = \App\Member::where('email', 'success@gmail.com')->first();

        $this->assertEquals($expected['last_name'], $member->last_name);
        $this->assertEquals($expected['hobby'], unserialize($member->hobbies));
    }

    public function providerTrimpInput()
    {
        return [
            [ //半角スペース
                ['last_name' => ' 山田 ', 'hobby' => [' 映画鑑賞 ', ' 読書 ', '']],
                ['last_name' => '山田',   'hobby' => ['映画鑑賞', '読書', '']],
            ],
            [ //全角スペース
                ['last_name' => '　山田　', 'hobby' => ['　映画鑑賞　', '　読書　', '']],
                ['last_name' => '山田',     'hobby' => ['映画鑑賞', '読書', '']],
            ],

        ];
    }
}

前回のテストでは、

      $this->visit('/signup')
           ->type('success@gmail.com', 'email')
　　　...
　　　　　　->press('保存')
           ->see('会員登録完了')

のように、入力をシミュレートするのに、type()の関数を使用しましたが、今回のテストでは、配列の入力は残念ながらtype()では対応できません。そこで、type()とpress()をまとめた、submitForm()を使っています。

データプロバイダーの方も、last_nameとhobbyのおいてそれぞれ値を変えることができるように、インデックスをつけました。

さて、これで前回の全角スペースとともに配列値でのトリムも可能となりました。空白文字をトリムするミドルウェアの完成です。

実行できるコードはこのリンクから、コード。タグは、2015-10-19となっています。

git fetch && git checkout -b 2015-10-19

入力の空白文字をトリム（１）ミドルウェア

Mon, 19 Oct 2015 09:32:19 +0900

フォームから入力されてくる文字でやっかいなのは、文字列の前後にユーザーのタイプミスで入れられる空白文字。英語では半角のスペース、日本語では全角のスペース。

これらの空白文字を削除してくれる関数はすでにPHPにはあります。

http://php.net/manual/ja/function.trim.php

さて、この関数をララベルのどこで使用するのが適切でしょうか？

まず考えるのは、コントローラ。バリデーションの前に、以下のようにループで空白文字を削除。

public function postSignup(Request $request)
{
    ...

    $trimmed = [];

    foreach($request->all as $key => $val)
    {
        $trimmed[$key] = trim($val);
    }

    $request->merge($trimmed);

    $this->validate($request, $rules, $messages);

    ...

しかし、どこのコントローラでもこれを行うのは面倒です。フォームリクエストという手もありますね。しかし、これもコントローラ１つに対してフォームリクエスト１つを作成すれば、同じ手間。もっとグローバルで対応する手はない？

そこで登場するのは、HTTPミドルウェアです。HTTPミドルウェアは、フォームなどから入力されてくる値をフィルターするためのプログラムです。

フィルターは、

app/Http/Middleware

のディレクトリに存在します。すでに以下のファイルが用意されていて、それぞれのフィルターのカスタマイズを行うことができます。

Authenticate.php　ユーザーの認証のため EncryptCookies.php クッキーの暗号化のため RedirectIfAuthenticate.php すでに認証されているならリダイレクトするため VerifyCsrfToken.php　セッション乗っ取りを防ぐため

ここに新たなミドルウェアとして空白文字のトリムを入れましょう。

app/Http/Middleware/TrimInput.php

namespace App\Http\Middleware; 

use Closure; class TrimInput {
    /** 
     * Handle an incoming request. 
     * 
     * @param \Illuminate\Http\Request $request 
     * @param \Closure $next 
     * @return mixed 
     */ 
    public function handle($request, Closure $next) { 

        $input = $request->all();

        $trimmed = [];

        foreach($input as $key => $val)
        {
            $trimmed[$key] = trim($val);
        }

        $request->merge($trimmed);

        return $next($request);
    }
}

まず、簡単な対応として、入力されたそれぞれの値に対して半角の空白文字のトリムを実行します。クラス名はファイル名と同様にTrimInputと命名します。既存のクラスを継承する必要はなく、handle()の関数を定義するのみです。

入力の値は、$requestのパラメータからオブジェクトとして取得して、それをトリムした文字列で上書きします。そして、最後には次のフィルターの関数を上書きされたリクエストとともにコールします。

しかし、残念ながらこれだけでは実行されません。以下のファイルにおいて、登録する必要あります。

app/Http/Kernel.php

namespace App\Http; 

use Illuminate\Foundation\Http\Kernel as HttpKernel;

class Kernel extends HttpKernel
{ 
/**
 * The application's global HTTP middleware stack.
 *
 * @var array
 */ 
    protected $middleware = [
        \Illuminate\Foundation\Http\Middleware\CheckForMaintenanceMode::class,
        \App\Http\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \App\Http\Middleware\VerifyCsrfToken::class,
        \App\Http\Middleware\TrimInput::class,
    ]; 

/**
 * The application's route middleware.
 *
 * @var array
 */
    protected $routeMiddleware = [
        'auth' => \App\Http\Middleware\Authenticate::class,
        'auth.basic' => \Illuminate\Auth\Middleware\AuthenticateWithBasicAuth::class,
        'guest' => \App\Http\Middleware\RedirectIfAuthenticated::class,
    ];
}

TrimInputは21行目に登録されています。先にリストした他のミドルウェアも入っていますね。

さて、これだけは十分ではありません。いくつか、対応すべき問題があります。

まず、フォームでは日本語の入力を期待するのに、全角スペースの対応ができていません。

また、フォームなどから入力される値は、たいていが文字列ですがＰＨＰでは、配列の[]を使用することで以下のような同型の複数行フォームの入力も可能です。

<form>
...
<div>あなたの趣味を以下に記入してください：</div>
<ul>
  <li><input type="text" name="hobby[]" value=""></li>
  <li><input type="text" name="hobby[]" value=""></li>
...
</form>

この配列での入力値の対応も先のコードでは無理です。そして、動作確認はどうしましょう。空白文字ゆえに画面での確認は難しいです。フォームのユニットテストが必要ですね。これらを含めて次回に仕上げましょう。

ミドルウェア on ララジャパン

ユーザー認証（４）認証でページを保護

入力の空白文字のトリム（３）配列の入力値

入力の空白文字をトリム（１） ミドルウェア

入力の空白文字をトリム（１）ミドルウェア