WebSocket身份验证

Question

当使用websocket连接时，对用户进行身份验证的可能方式是什么？

示例场景：通过加密的websocket连接基于Web的多用户聊天应用程序。如何确保（或保证）此应用程序中的每个连接都属于某个经过身份验证的用户，并且在连接期间“不能”被虚假用户模拟利用。

Answer 1

SSL/TLS可用于使用X.509证书对客户端和服务器进行身份验证。这取决于您正在使用的Web应用程序平台。在Apache中，SSL_CLIENT_CERT environment variable可以根据已知证书列表的有效性进行检查。这不需要使用完整的PKI，也不需要您为每个客户购买证书。虽然我建议使用CA来备份您的服务器的SSL证书。

Answer 2

如果您已经在为您的应用的非websocket部分进行身份验证，只需在连接之后将第一条消息作为第一条消息一起传递，并像平常一样检查cookie。

警告：它已经指出，当flashsockets使用以下不起作用：
如果您使用socket.io，那就更简单了，饼干都是通过自动连接上通过，并可以访问如下所示：

var io = require('socket.io'); 
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie']; 
});