Nagłówki HTTP w Websockets client API

Bardziej alternatywne rozwiązanie, ale wszystkie nowoczesne przeglądarki wysyłają pliki cookie domeny wraz z połączeniem, więc za pomocą:

var authToken = 'R3YKZFKBVi';

document.cookie = 'X-Authorization=' + authToken + '; path=/';

var ws = new WebSocket(
    'wss://localhost:9000/wss/'
);

Kończy się nagłówkiem połączenia żądania:

Cookie: X-Authorization=R3YKZFKBVi

Problem z nagłówkiem autoryzacji HTTP można rozwiązać za pomocą:

var ws = new WebSocket("ws://username:[email protected]/service");

Następnie zostanie ustawiony odpowiedni nagłówek HTTP autoryzacji podstawowej z podanymi username i password. Jeśli potrzebujesz podstawowej autoryzacji, to wszystko gotowe.

Chcę jednak użyć Bearer i uciekłem się do następującej sztuczki: łączę się z serwerem w następujący sposób:

var ws = new WebSocket("ws://[email protected]/service");

I gdy mój kod po stronie serwera otrzyma podstawowy nagłówek autoryzacji z niepustą nazwą użytkownika i pustym hasłem, następnie interpretuje nazwę użytkownika jako token.

Nie można dodawać nagłówków, ale jeśli chcesz przekazać wartości do serwera w momencie połączenia, możesz podać część ciągu zapytania w adresie url:

var ws = new WebSocket("ws://example.com/service?key1=value1&key2=value2");

Ten adres URL jest poprawny, ale-oczywiście-musisz zmodyfikować kod serwera, aby go przeanalizować.

Nie można wysyłać niestandardowego nagłówka, gdy chcesz nawiązać połączenie WebSockets za pomocą JavaScript WebSockets API. Możesz użyć nagłówków Subprotocols używając drugiego konstruktora klasy WebSocket:

var ws = new WebSocket("ws://example.com/service", "soap");

A następnie możesz uzyskać nagłówki Subprotocols za pomocą klucza Sec-WebSocket-Protocol na serwerze.

Istnieje również ograniczenie, wartości nagłówków Subprotocols nie mogą zawierać przecinka (,) !

Wysyłanie nagłówka autoryzacji nie jest możliwe.

Dołączenie parametru token query jest opcją. Jednak w niektórych okolicznościach może być niepożądane wysyłanie głównego tokena logowania w postaci zwykłego tekstu jako parametru zapytania, ponieważ jest on bardziej nieprzezroczysty niż użycie nagłówka i kończy się zalogowaniem, który będzie tutaj. Jeśli chodzi o bezpieczeństwo, alternatywą jest użycie dodatkowego tokena JWT tylko dla rzeczy z gniazdami sieciowymi .

Utwórz punkt końcowy REST dla generowanie tego JWT, do którego oczywiście dostęp mają tylko użytkownicy uwierzytelnieni za pomocą głównego tokena logowania (przekazanego przez nagłówek). Web socket JWT może być skonfigurowany inaczej niż twój token logowania, np. z krótszym czasem oczekiwania, więc bezpieczniej jest wysłać zapytanie jako param żądania aktualizacji.

Utwórz osobny JwtAuthHandler dla tej samej trasy, na której zarejestrujesz sockjs eventbusHandler na. Upewnij się, że Twój handler auth jest zarejestrowany jako pierwszy, więc możesz sprawdzić Web socket Token przeciwko twojej bazie danych (JWT powinien być w jakiś sposób połączony z Twoim użytkownikiem w backendzie).

Całkowicie zhakował to w ten sposób, dzięki odpowiedzi Kanaki.

Klient:

var ws = new WebSocket(
    'ws://localhost:8080/connect/' + this.state.room.id, 
    store('token') || cookie('token') 
);

Serwer (używając w tym przykładzie Koa2, ale powinien być podobny wszędzie):

var url = ctx.websocket.upgradeReq.url; // can use to get url/query params
var authToken = ctx.websocket.upgradeReq.headers['sec-websocket-protocol'];
// Can then decode the auth token and do any session/user stuff...

In my situation (Azure Time Series Insights wss://)

Używając Opakowarki ReconnectingWebsocket i był w stanie osiągnąć dodawanie nagłówków za pomocą prostego rozwiązania:

socket.onopen = function(e) {
    socket.send(payload);
};

Gdzie ładowność w tym przypadku wynosi:

{
  "headers": {
    "Authorization": "Bearer TOKEN",
    "x-ms-client-request-id": "CLIENT_ID"
}, 
"content": {
  "searchSpan": {
    "from": "UTCDATETIME",
    "to": "UTCDATETIME"
  },
"top": {
  "sort": [
    {
      "input": {"builtInProperty": "$ts"},
      "order": "Asc"
    }], 
"count": 1000
}}}

Możesz przekazać nagłówki jako wartość klucza w trzecim parametrze (opcje) wewnątrz obiektu. Przykład z Tokenem autoryzacji. Opuścił protokół (drugi parametr) jako null

ws = new WebSocket(‘ws://localhost’, null, { headers: { Authorization: token }})

Edit: wygląda na to, że takie podejście działa tylko z biblioteką nodejs, a nie ze standardową implementacją przeglądarki. Zostawić, bo niektórym może się to przydać.

Moja sprawa:

• chcę połączyć się z produkcyjnym serwerem ws a www.mycompany.com/api/ws...
• korzystanie z prawdziwych danych uwierzytelniających (plik cookie sesji)...
• z lokalnej strony (localhost:8000).

Ustawienie document.cookie = "sessionid=foobar;path=/" nie pomoże, ponieważ domeny nie pasują.

Rozwiązanie :

Dodaj 127.0.0.1 wsdev.company.com do /etc/hosts.

W ten sposób twoja przeglądarka będzie używać plików cookie z mycompany.com podczas łączenia się z www.mycompany.com/api/ws, ponieważ łączysz się z ważnej subdomeny wsdev.company.com.

Technicznie, będziesz wysyłać te nagłówki przez funkcję connect przed fazą aktualizacji protokołu. To mi się udało w projekcie nodejs:

var WebSocketClient = require('websocket').client;
var ws = new WebSocketClient();
ws.connect(url, '', headers);