Uwierzytelnianie WebSockets

Jeśli wykonujesz już uwierzytelnianie dla części aplikacji innej niż websocket, po prostu przekaż plik cookie sesji jako pierwszą wiadomość po połączeniu i sprawdź plik cookie tak, jak zwykle.

Uwaga: zauważono, że następujące elementy nie działają przy użyciu flashsockets:
Jeśli używasz socket.io , jest to jeszcze łatwiejsze-pliki cookie są przekazywane automatycznie po połączeniu i mogą być dostępne w następujący sposób:

var io = require('socket.io');
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie'];
});

Są dwa sposoby.

Jednym ze sposobów jest umożliwienie każdemu otwarcia połączenia z Internetem. Zleć klientowi wysłanie tokena autoryzacji jako pierwszej wiadomości po otwarciu połączenia. Jeśli klient nie wyśle ważnego tokena w określonym czasie, zamknij połączenie.

Innym sposobem jest użycie plików cookie (są one wysyłane automatycznie przez przeglądarkę na każde żądanie). Wymaga to wdrożenia ochrony CSRF (nawet bardziej niż zwykle, ponieważ nie ma takiej samej polityki pochodzenia (SOP) dla websockets. Szczegóły znajdziesz tutaj . Zarys jest następujący:

W przeciwieństwie do js, WebSocket preauth nie może być używany do tworzenia stron internetowych.]}
1. backend zwraca token CSRF w treści odpowiedzi i ustawia plik cookie "websocket auth" z SameSite=Strict w nagłówkach odpowiedzi
W przeciwieństwie do innych systemów, które nie są w pełni kompatybilne z serwerem, nie są w pełni kompatybilne z serwerem.]}
2. Kontrola zaplecza
   • że websocket AUTH cookie i token CSRF są ważne
   • że wartość nagłówka Origin pasuje do zatwierdzonej domeny
[11]}backend wysyła odpowiedź i aktualizuje połączenie, aby używać websockets

Pierwsza metoda jest prostsza, ale ma tę wadę, że wymaga posiadania jakiegoś stanu po stronie serwera czekającego na uwierzytelnienie klienta. Może to umożliwić atakującemu wykonanie ataku typu odmowa usługi poprzez wykorzystanie wszystkich dostępnych gniazd.