Devise(Warden)でログインしたときにセッションIDを変えさせない方法 | 自転車で通勤しましょ♪ブログ

これはとくまるひろしのSession Fixation攻撃入門でも紹介されている通り、セッションハイジャックの可能性を高めてしまうので、本来はオススメではありません。私も違う方法を取りました。 しかし、調べるのが大変だったので、備忘録として残すこととします。 環境は、 Rails 4.1.4 Devise 作っていたものは、以下のようなもの。 既にアカウントはログイン済みである。 他の場所でアカウントのログインが試みられる 一旦ログインさせずに、他のユーザーがログインしていることを通知 それでもログインしたかったら現在ログイン中のユーザーをログアウトさせてログインする これを実現させるために、ログインしたタイミングでセッションIDを保存しておいて、現在のセッションIDと違う場合は弾くというふうにしようと思い、作っていました。ところが、DeviseというかWardenは、ログインしたタイミン