Xác thực WebSockets

Question

Có thể nào để xác thực người dùng khi kết nối websocket được sử dụng?

Kịch bản ví dụ: Ứng dụng trò chuyện nhiều người dùng dựa trên web thông qua kết nối websocket được mã hóa. Làm thế nào tôi có thể đảm bảo (hoặc đảm bảo) rằng mỗi kết nối trong ứng dụng này thuộc về một số người dùng đã được xác thực và "không thể" bị mạo danh giả mạo trong quá trình kết nối.

Answer 1

SSL/TLS có thể được sử dụng để xác thực cả khách hàng và máy chủ bằng chứng chỉ X.509. Nó phụ thuộc vào nền tảng ứng dụng web mà bạn đang sử dụng. Trong apache, SSL_CLIENT_CERT environment variable có thể được kiểm tra tính hợp lệ đối với danh sách chứng chỉ đã biết hợp lệ. Điều này sẽ không yêu cầu sử dụng PKI đầy đủ và sẽ không yêu cầu bạn mua chứng chỉ cho từng khách hàng. Mặc dù tôi khuyên bạn nên sử dụng CA để quay lại chứng chỉ ssl của máy chủ.

Answer 2

Nếu bạn đã thực hiện xác thực phần không phải websocket của ứng dụng, chỉ cần chuyển cookie phiên cùng với thông điệp đầu tiên sau khi kết nối và kiểm tra cookie như bình thường.

CẢNH BÁO: Nó được chỉ ra rằng sau không hoạt động khi flashsockets được sử dụng:
Nếu bạn đang sử dụng socket.io, nó thậm chí còn dễ dàng hơn-the cookie được chuyển qua tự động kết nối, và có thể được truy cập như sau:

var io = require('socket.io'); 
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie']; 
});