(メールアドレス, 8桁のID, パスワード)の三つの要素で認証する、ということですよね。
Sorceryでは(ID, パスワード)の二つの要素で認証する思想になっていると思います。
以下の部分で、ID(コード上はcredentials[0]
です)をキーにして、認証に用いるレコードを取り出しています。
https://github.com/Sorcery/sorcery/blob/4e3fcdb8df16912424281322ce9f2862937846fc/lib/sorcery/adapters/active_record_adapter.rb#L61
Sorceryで何とかする場合は、Sorcery::Model::Config#before_authenticate
で認証処理前に(メールアドレス,8桁のID)の組み合わせが存在するかをチェックする、という方法が考えられます。
before_authenticate
を使っている例は以下にあります。
https://github.com/Sorcery/sorcery/blob/4e3fcdb8df16912424281322ce9f2862937846fc/lib/sorcery/model/submodules/brute_force_protection.rb#L114
これは、Brute force protection サブモジュールのコードです。