アバター画像のバリデーションにMime-Typeを使うようにした

app/controllers/current_user_controller.rb

@@ -8,6 +8,8 @@ def edit
   end
 
   def update
+    @user.uploaded_avatar = user_params[:avatar]
+
     if @user.update(user_params)
       redirect_to @user, notice: 'ユーザー情報を更新しました。'
     else

app/controllers/users_controller.rb

@@ -64,6 +64,7 @@ def create
     @user.course_id ||= Course.first.id
     @user.free = true if @user.trainee?
     @user.build_discord_profile
+    @user.uploaded_avatar = user_params[:avatar]
     Newspaper.publish(:user_create, { user: @user })
     if @user.staff? || @user.trainee?
       create_free_user!

app/models/user.rb

@@ -182,11 +182,8 @@ class User < ApplicationRecord
 
   validates :login_name, length: { minimum: 3, message: 'は3文字以上にしてください。' }
 
-  validates :avatar, attached: false,
-                     content_type: {
-                       in: %w[image/png image/jpg image/jpeg image/gif image/heic image/heif],
-                       message: 'はPNG, JPG, GIF, HEIC, HEIF形式にしてください'
-                     }
+  attribute :uploaded_avatar, :binary
+  validate :validate_uploaded_avatar_content_type
 
   with_options if: -> { %i[create update].include? validation_context } do
     validates :login_name, presence: true, uniqueness: true,
@@ -820,4 +817,13 @@ def category_having_active_practice
   def category_having_unstarted_practice
     unstarted_practices&.first&.categories&.first
   end
+
+  def validate_uploaded_avatar_content_type
+    return unless uploaded_avatar
+
+    mime_type = Marcel::Magic.by_magic(uploaded_avatar.read)&.type
+    return if mime_type&.start_with?('image/png', 'image/jpg', 'image/jpeg', 'image/gif', 'image/heic', 'image/heif')
+
+    errors.add(:avatar, 'は指定された拡張子(PNG, JPG, GIF, HEIC, HEIF形式)になっていないか、あるいは画像が破損している可能性があります')
+  end
 end

test/system/users_test.rb

@@ -570,6 +570,14 @@ class UsersTest < ApplicationSystemTestCase
     assert_match(/#{user.id}\.png$/, img.native['src'])
   end
 
+  test 'can not upload broken image as user avatar' do
+    visit_with_auth '/current_user/edit', 'hajime'
+    attach_file 'user[avatar]', 'test/fixtures/files/images/broken_image.jpg', make_visible: true
+    click_button '更新する'
+
+    assert_text 'ユーザーアイコンは指定された拡張子(PNG, JPG, GIF, HEIC, HEIF形式)になっていないか、あるいは画像が破損している可能性があります'
+  end
+
   test 'mentor can see retired and hibernated tabs' do
     visit_with_auth '/users', 'mentormentaro'
     assert_link '休会', href: '/users?target=hibernated'