ログイン状態の制御（before_actionなど）

Railsにおける「認証・認可」の機能の中で、「ログイン状態の制御」は、ユーザーがログインしているかどうかを確認し、必要に応じてアクセスを制限するための基本的かつ重要な仕組みです。ここでは、主にbefore_actionフィルタを活用した実装方法を中心に詳しく説明します。

---

before_actionとは

before_actionは、コントローラーのアクションが実行される前に特定のメソッドを実行するためのフィルタです。主にログインチェックやアクセス制限の処理に利用されます。

ruby
class ApplicationController < ActionController::Base
  before_action :authenticate_user!
end

---

Deviseとの連携例（ログイン状態の確認）

Deviseを使用している場合、authenticate_user!というヘルパーメソッドが提供されており、これをbefore_actionで指定することで、ユーザーがログインしていない場合にログインページへリダイレクトさせることができます。

ruby
class ArticlesController < ApplicationController
  before_action :authenticate_user!

  def index
    @articles = Article.all
  end
end

この例では、ArticlesControllerのアクションが実行される前に、authenticate_user!が実行され、ユーザーがログインしていなければログインページに強制的に移動されます。

---

ログイン状態に応じたアクセス制御（任意のアクションのみ）

特定のアクションにのみ制限をかけたい場合は、onlyオプションを使います。

ruby
class ArticlesController < ApplicationController
  before_action :authenticate_user!, only: [:new, :create, :edit, :update, :destroy]
end

逆に、ログイン不要なアクションを指定したい場合は、exceptオプションを使います。

ruby
class ArticlesController < ApplicationController
  before_action :authenticate_user!, except: [:index, :show]
end

---

自前でログイン確認メソッドを定義する場合

Deviseを使わずに自前でセッション管理している場合は、以下のように定義することが一般的です。

ruby
class ApplicationController < ActionController::Base
  helper_method :current_user

  def current_user
    @current_user ||= User.find_by(id: session[:user_id])
  end

  def require_login
    unless current_user
      redirect_to login_path, alert: "ログインが必要です"
    end
  end
end

使用例：

ruby
class ArticlesController < ApplicationController
  before_action :require_login, only: [:new, :create, :edit, :update, :destroy]
end

---

管理者などのロールに基づく制御

ログインしているだけでなく、管理者権限が必要な場合も、同様にbefore_actionでチェック可能です。

ruby
def require_admin
  unless current_user&.admin?
    redirect_to root_path, alert: "管理者権限が必要です"
  end
end

---

まとめ

このように、Railsではbefore_actionを活用することで柔軟にログイン状態やアクセス制御を実装できます。特にDeviseと併用することで、認証機能の構築が大幅に簡素化されます。