当前位置:首页 > 短网址资讯 > 正文内容

WebSocket 的鉴权授权方案

www.ft12.com4年前 (2017-08-05)短网址资讯1954

引子

WebSocket 是个好东西,为我们提供了便捷且实时的通讯能力。然而,对于 WebSocket 客户端的鉴权,协议的 RFC 是这么说的:

This protocol doesn’t prescribe any particular way that servers can
authenticate clients during the WebSocket handshake. The WebSocket
server can use any client authentication mechanism available to a
generic HTTP server, such as cookies, HTTP authentication, or TLS
authentication.

也就是说,鉴权这个事,得自己动手

协议原理

WebSocket 是独立的、创建在 TCP 上的协议。

为了创建Websocket连接,需要通过浏览器发出请求,之后服务器进行回应,这个过程通常称为“握手”。

实现步骤:

1. 发起请求的浏览器端,发出协商报文:

2. 服务器端响应101状态码(即切换到socket通讯方式),其报文:

3. 协议切换完成,双方使用Socket通讯

直观的协商及通讯过程:

websocket-lifecycle

方案

通过对协议实现的解读可知:在 HTTP 切换到 Socket 之前,没有什么好的机会进行鉴权,因为在这个时间节点,报文(或者说请求的Headers)必须遵守协议规范。但这不妨碍我们在协议切换完成后,进行鉴权授权:

鉴权

  1. 在连接建立时,检查连接的HTTP请求头信息(比如cookies中关于用户的身份信息)

  2. 在每次接收到消息时,检查连接是否已授权过,及授权是否过期

  3. 以上两点,只要答案为否,则服务端主动关闭socket连接

授权

服务端在连接建立时,颁发一个ticket给peer端,这个ticket可以包含但不限于:

  • peer端的uniqueId(可以是ip,userid,deviceid…任一种具备唯一性的键)

  • 过期时间的timestamp

  • token:由以上信息生成的哈希值,最好能加盐

安全性的补充说明

有朋友问:这一套机制如何防范重放攻击,私以为可以从以下几点出发:

  • 可以用这里提到的expires,保证过期,如果你愿意,甚至可以每次下发消息时都发送一个新的Ticket,只要上传消息对不上这个Ticket,就断开,这样非Original Peer是没法重放的

  • 可以结合redis,实现 ratelimit,防止高频刷接口,这个可以参考 express-rate-limit,原理很简单,不展开

  • 为防止中间人,最好使用wss(TLS)

代码实现

WebSocket连接处理,基于 node.js 的 ws 实现:

授权用到的 Ticket(这里存储用到的是knex + postgreSQL):

utils 的哈希方法:

扫描二维码推送至手机访问。

版权声明:本文由短链接发布,如需转载请注明出处。

本文链接:https://www.ft12.com/article_382.html

标签: WebSocket鉴权
分享给朋友:

相关文章

Furla上半年亚太区销售猛涨63% 将推迟IPO

虽然全球时尚零售动荡,但至今已有90周年的意大利轻奢品牌Furla近两年俨然成为行业的最大黑马。继去年录得创历史纪录的销售额后,在截至6月30日的今年上半年内,Furla销售额再度录得双位数的强劲增长,在中国消费者的追捧下同比猛涨23.5%...

百度的新赌注:语音由DuerOS开路,无人车由Apollo撑腰

[ FT12短网址 ] 李彦宏的中心赌注即是两个:语音和无人车。详细到战术层面,语音由DuerOS开路,无人车由Apollo撑腰。明日,李彦宏将揭晓他为这两个赌注下了啥新筹码。 那么,baidu都在这两个渠道上现已倾泻了...

微信分享图片压缩问题解决方案

微信分享图片压缩问题解决方案

概述       在进行微信分享时,遇到微信分享失败的情况,微信分享对于图片的大小有32k的限制,如果大于的话就会导致失败。所以对于图片的压缩进行了调研,最后得出如下解决...

ft12短网址报告:去年顺丰EMS中通消费者满意度最高

ft12短网址报告:去年顺丰EMS中通消费者满意度最高

FT12短网址资讯24日发布的《2016年度快递商场监管陈述》(以下简称《陈述》)显示,2016年,我国人均运用快递近23件,年人均快递费用开销287.4元,快递均匀单价每件12.7元,比2015年少花0.7元。《陈述》还指出,今年要根本消...

FT12短网址:腾讯,亚洲活跃的科技公司投资者

FT12短网址:腾讯,亚洲活跃的科技公司投资者

[ FT12短网址资讯 ] 根据CB Insights最新数据表明,随着亚洲科技生态系统的发展创新,企业风险投资者在私募市场扮演着更重要的角色,腾讯是亚洲活跃的科技公司投资者。根据CB Insights最新数据表明,随着...

2017年哥大毕业典礼演讲之李开复:内心比大脑重要

2017年哥大毕业典礼演讲之李开复:内心比大脑重要

5月15日,创新工场创始人兼CEO、人工智能工程院院长李开复博士作为特邀嘉宾,在纽约哥伦比亚大学工程学院向2017届结业生们宣告了题为《工程师的人工智能银河系周游指南》结业讲演。作为哥大83届结业生,他获益于这所大学年青、活泼、新锐、自在的...

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。