何がしたいか

session_store に Redis かつ Devise で認証を管理してる Rails アプリの特定ユーザのセッションをすべて破棄したい。

どうやるか

セッションストアから対象ユーザのセッション情報を割り出して削除すれば良い。

Railsはセッションストアに sessions:session_id(session_idはRailsが発行したsession_id) ってキーでセッション情報を保持する。Wardenはそのセッション情報の中に warden.user.user.key(そのまま)ってキーでユーザIDなどの認証情報を保持する。

mapping = 'user'
user_id = 42

# Redisからすべてのセッション情報を抽出
Redis.current.keys('sessions:*').select { |key|
  # セッション情報の実態を取り出す
  user_hash = Marshal.load(Redis.current.get(key))
  # ユーザを特定
  user_hash["warden.user.#{mapping}.key"][0].include?(user_id)
rescue
  false
}.each { |key|
  # 特定したユーザのセッションを破棄
  Redis.current.del(key)
}

野蛮かつ不穏な感じ…実施は自己責任で。

リンク集

• Device
• Warden
• RedisStore
  • Rails の session store を Redis に対応させるやつ
• Redis
  • Ruby の Redis クライアント. RedisStoreはRedisとこれで通信してる
• Marshal
  • RedisStoreは(昔の)デフォルトだとRedisに保存するデータを Marshal でシリアライズする
  • Marshal.load は未検証の値に使っちゃダメ。
• [Rails] deviseのセッション(session)はどのように決められているのか - Qiita
  • Devise -> Warden のコードリーディングの記事。とてもわかりやすい