Railsの認証フィルタを完全解説！初心者でもわかるbefore_action :authenticate_user!の使い方

1. 認証フィルタとは？

1. 認証フィルタとは？

認証フィルタとは、「このページを見るにはログインが必要ですよ」と自動で判断してくれる仕組みのことです。

RailsではDevise（デバイス）という人気のログイン管理ライブラリを使うと、authenticate_user!という便利な命令が使えるようになります。

before_actionというフィルタ機能を使って、ログインしていない人は別のページ（たとえばログイン画面）に自動でリダイレクト（転送）させることができます。

2. コントローラに認証フィルタを設定する基本

2. コントローラに認証フィルタを設定する基本

たとえば「記事の投稿一覧ページ」をログイン済みユーザーしか見られないようにしたい場合、次のように書きます。

# app/controllers/posts_controller.rb
class PostsController < ApplicationController
  before_action :authenticate_user!

  def index
    @posts = Post.all
  end
end

このようにbefore_action :authenticate_user!と書くだけで、すべてのアクションに対して「ログインしていなければログインページに飛ばす」動作が自動で追加されます。

3. 特定のアクションだけに認証をかけるには？

3. 特定のアクションだけに認証をかけるには？

「投稿一覧は誰でも見てよくて、編集だけはログインしてないとダメ」というケースでは、次のように限定指定します。

class PostsController < ApplicationController
  before_action :authenticate_user!, only: [:edit, :update, :destroy]

  def index
    @posts = Post.all
  end

  def edit
    @post = Post.find(params[:id])
  end
end

only:オプションで、どのアクションにだけ認証をかけるかを明確にできます。

4. 特定のアクションだけ認証を外すには？

4. 特定のアクションだけ認証を外すには？

逆に、基本的に全部ログインが必要だけど、このアクションだけは誰でもOKという場合はexcept:を使います。

class PostsController < ApplicationController
  before_action :authenticate_user!, except: [:index, :show]

  def index
    @posts = Post.all
  end

  def show
    @post = Post.find(params[:id])
  end
end

except:を使うことで、「このアクション以外はすべて認証が必要」と簡単に書けます。

5. 認証されていないとどうなるの？

5. 認証されていないとどうなるの？

ログインしていない状態で、認証が必要なページにアクセスすると、自動的にログインページにリダイレクトされます。

この動作はDeviseが用意してくれている仕組みで、何も設定しなくても安全な状態を保てます。

http://localhost:3000/posts/edit/1 にアクセス →
ログインしていない場合、自動で http://localhost:3000/users/sign_in にリダイレクト

6. 共通化のためにApplicationControllerに書く方法

6. 共通化のためにApplicationControllerに書く方法

すべてのページでログイン必須にしたいなら、ApplicationControllerにまとめて書いておくのがおすすめです。

# app/controllers/application_controller.rb
class ApplicationController < ActionController::Base
  before_action :authenticate_user!
end

これにより、すべてのコントローラでauthenticate_user!が有効になります。
ただし、一部のページだけは公開したいという場合には、except:やskip_before_actionを組み合わせて調整できます。

7. skip_before_actionで認証を無効にする

7. skip_before_actionで認証を無効にする

ApplicationControllerで認証を有効にしたあと、特定のコントローラではそれを無効にしたいという場合には、次のように書きます。

class HomeController < ApplicationController
  skip_before_action :authenticate_user!

  def top
  end
end

これで、HomeControllerだけはログインなしで見られるようになります。

8. 認証フィルタはセキュリティの第一歩

8. 認証フィルタはセキュリティの第一歩

認証フィルタは、RailsのWebアプリケーションにおけるセキュリティ対策の基本です。ログインしていないユーザーが勝手に投稿を編集したり、削除したりすることを防げます。

また、Deviseと組み合わせることで、複雑なログイン処理を自動でカバーしながら、コードはシンプルに保つことができます。

今後アプリケーションを作っていくうえで、認証フィルタの知識は非常に役に立ちます。

まとめ

まとめ

認証フィルタを理解するとRailsアプリの安全性が一気に高まる

この記事では、Railsにおける認証フィルタの基本から実践的な使い方までを、before_action :authenticate_user!を中心に解説してきました。RailsでWebアプリケーションを作る際、「ログインしていない人に見せてはいけないページをどう守るか」は、最初につまずきやすいポイントでありながら、非常に重要なテーマです。

認証フィルタとは、「アクションが実行される前に、必ずログイン状態を確認する仕組み」です。Railsではbefore_actionという便利なフィルタ機能が用意されており、Deviseと組み合わせることで、authenticate_user!という命令ひとつでログインチェックを実現できます。このシンプルさが、Railsが初心者にも扱いやすいと言われる理由のひとつです。

コントローラにbefore_action :authenticate_user!を書くことで、そのコントローラ内のすべてのアクションに対して認証が適用されます。ログインしていないユーザーがアクセスした場合は、自動的にログインページへリダイレクトされるため、開発者が個別に判定処理を書く必要はありません。これにより、認証漏れによるセキュリティ事故を防ぎやすくなります。

また、only:やexcept:オプションを使えば、「このアクションだけログイン必須」「このページだけは誰でも見られる」といった柔軟な制御も可能です。ブログやSNSのように、一覧や詳細は公開しつつ、編集や削除はログイン必須にしたい場合には、この指定がとても役立ちます。コードを見ただけで認証ルールが分かる点も、大きなメリットです。

さらに、ApplicationControllerに認証フィルタを書くことで、「基本はすべてログイン必須」という設計にもできます。この方法は、管理画面や社内向けシステムなど、公開ページが少ないアプリケーションで特に有効です。そのうえで、skip_before_actionを使えば、トップページや案内ページなど、必要な部分だけを例外として公開できます。

認証フィルタは、単なる便利機能ではなく、Railsアプリケーションにおけるセキュリティの第一歩です。ログインチェックを忘れてしまうと、本来操作できないはずのユーザーがデータを変更できてしまう危険性があります。Deviseと認証フィルタを正しく使うことで、そのようなリスクを最小限に抑えることができます。

初心者のうちは「なぜこの1行を書く必要があるのか」が分かりにくいかもしれませんが、アプリが成長して機能が増えるほど、認証フィルタのありがたみを実感するようになります。Railsの流れに沿って設計することが、そのまま安全で保守しやすいアプリづくりにつながるのです。

認証フィルタの復習用サンプルプログラム

class ArticlesController < ApplicationController
  before_action :authenticate_user!, except: [:index, :show]

  def index
    @articles = Article.all
  end

  def show
    @article = Article.find(params[:id])
  end

  def edit
    @article = Article.find(params[:id])
  end
end

この例では、記事の一覧と詳細ページは誰でも閲覧できますが、編集画面にはログインが必要です。認証ルールがシンプルに表現されており、後から見返しても意図が分かりやすい構成になっています。