OpenId Connect による Google ID 認証を実装する

[maeda-m]

概要（実現したいこと・ユーザーストーリー）

35 , #36

関連するもの・やらないこと

単にログイン処理後の遷移ができるまでを実装する。遷移後のページは実装しない。

39 の退会処理はこのプルリクエストではやらない。

またサーバーで払い出した session id を DB に保存することとなるが、1日以上経過したレコードの削除とリダイレクト処理は別の議題（ #100 ）とする。

受け入れ条件

Feature: Google で登録する
  Scenario: 初回分析回答が未回答のユーザーで「Googleで登録」を試みる
    Given 未ログインである

    When ブラウザで"/users/123/profile"にアクセスする
    Then ボタン"Googleで登録"がない
    And ボタン"はじめる"がある

  Scenario: 初回分析回答直後のユーザーで「Googleで登録」する
    Given ユーザー"初回分析回答直後"でログインする

    When ブラウザで"/users/:user_id/profile"にアクセスする
    Then ボタン"Googleで登録"がある
    And ボタン"はじめる"がない

  Scenario: すでにGoogleID連携済みのユーザーで「Googleで登録」を試みる
    Given ユーザー"GoogleID連携済み"でログインする

    When ブラウザで"/users/:user_id/profile"にアクセスする
    Then ボタン"Googleで登録"がない
    And ボタン"はじめる"がない

Feature: Googleでログインする
  Scenario: 初回分析回答が未回答のユーザーで「Googleでログイン」を試みる
    Given 未ログインである

    When ブラウザで"/"にアクセスする
    Then ボタン"Googleでログイン"がある
    And ボタン"はじめる"がある

  Scenario: 初回分析回答直後のユーザーで「Googleでログイン」を試みる
    Given ユーザー"初回分析回答直後"でログインする

    When ブラウザで"/"にアクセスする
    Then ボタン"Googleでログイン"がある
    And ボタン"はじめる"がある

  Scenario: すでにGoogleID連携済みのユーザーで「Googleでログイン」をする
    Given ユーザー"GoogleID連携済み"でログインする

    When ブラウザで"/"にアクセスする
    Then ボタン"Googleでログイン"がない
    And ボタン"はじめる"がない

実装方針

• ログイン確認の際はセッション固定攻撃対策として reset_session する
• credential を Google::Auth::IDTokens.verify_oidc で検証し、ペイロードを取得する
• sub(subject claim) はハッシュ関数の実行結果のハッシュ値をDBに保存する
• ID トークンの偽造防止のため、Session に紐づくセキュリティトークンを発行してチェックする
  • そのため状態管理のための Session を DB に保存し、認証後は reset_session し、再利用できなくする
  • https://github.com/rails/activerecord-session_store
• ID トークン取得後の認証結果は https://github.com/lazaronixon/authentication-zero や https://techracho.bpsinc.jp/hachi8833/2017_08_01/43810 を参考にする

チェックリスト

プルリクエストの状況を確認するためにチェックをいれてください。

• [x] E2E テストをしている
• [x] 必要に応じて単体テストをしている／E2E テストで網羅したため単体テストは不要
• [x] 静的解析ツールのチェックでエラーがない
• [x] セルフレビューの観点から問題ない