Autenticazione WebSockets

Question

Quali sono i modi possibili per autenticare l'utente quando viene utilizzata la connessione WebSocket?

Scenario di esempio: applicazione chat multiutente basata sul web tramite connessione websocket crittografata. Come posso garantire (o garantire) che ogni connessione in questa applicazione appartenga a determinati utenti autenticati e che "non possa essere" sfruttata dalla falsa rappresentazione dell'utente durante la connessione.

Answer 1

SSL/TLS può essere utilizzato per autenticare client e server utilizzando certificati X.509. Dipende dalla piattaforma applicativa web che stai utilizzando. In apache è possibile verificare la validità di SSL_CLIENT_CERT environment variable per verificare la validità di un elenco di certificati noti. Ciò non richiederebbe l'utilizzo di una PKI completa e non richiederebbe l'acquisto di certificati per ciascun cliente. Anche se consiglio di utilizzare una CA per il certificato SSL del server.

Answer 2

Se si sta già eseguendo l'autenticazione per la parte non-websocket della propria app, basta passare il cookie di sessione come primo messaggio dopo la connessione e controllare il cookie come faresti normalmente.

AVVERTENZA: E 'stato sottolineato che il seguente non funziona quando si utilizzano flashsockets:
Se stai usando socket.io, è ancora più facile-i biscotti sono passati attraverso automaticamente sulla connessione, e si può accedere come il seguente:

var io = require('socket.io'); 
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie']; 
});