WebSocket 鉴权策略与技巧详解

WebSocket 作为实时通信的利器，越来越受到开发者的青睐。然而，为了确保通信的安全性和合法性，鉴权成为不可或缺的一环。本文将深入探讨 WebSocket 的鉴权机制，为你呈现一揽子的解决方案，确保你的 WebSocket 通信得心应手。

alt

使用场景

WebSocket 鉴权在许多场景中都显得尤为重要。例如，实时聊天应用、在线协作工具、实时数据更新等情境都需要对 WebSocket 进行鉴权，以确保只有合法的用户或服务可以进行通信。通过本文的指导，你将更好地了解在何种场景下使用 WebSocket 鉴权是有意义的。

WebSocket 调试工具

要调试 WebSocket，那就需要一个好的调试工具，这里我比较推荐 Apifox。它支持调试 http（s）、WebSocket、Socket、gRPC、Dubbo 等多种协议的接口，这使得它成为了一个非常全面的接口测试工具！

alt

常见方法

方法 1：基于 Token 的鉴权

WebSocket 鉴权中，基于 Token 的方式是最为常见和灵活的一种。通过在连接时携带 Token，服务器可以验证用户的身份。以下是一个简单的示例：

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

const WebSocket = require('ws');

const server = new WebSocket.Server({ port: 3000 });

server.on('connection', (socket, req) => {

    const token = req.headers['sec-websocket-protocol'];

     

    // 验证token的合法性

    if (isValidToken(token)) {

        // 鉴权通过，进行后续操作

        socket.send('鉴权通过，欢迎连接！');

    } else {

        // 鉴权失败，关闭连接

        socket.close();

    }

});

方法 2：基于签名的鉴权

另一种常见的鉴权方式是基于签名的方法。通过在连接时发送带有签名的信息，服务器验证签名的合法性。以下是一个简单的示例：

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

const WebSocket = require('ws');

const crypto = require('crypto');

const server = new WebSocket.Server({ port: 3000 });

server.on('connection', (socket, req) => {

    const signature = req.headers['x-signature'];

    const data = req.url + req.headers['sec-websocket-key'];

     

    // 验证签名的合法性

    if (isValidSignature(signature, data)) {

        // 鉴权通过，进行后续操作

        socket.send('鉴权通过，欢迎连接！');

    } else {

        // 鉴权失败，关闭连接

        socket.close();

    }

});

方法 3：基于 IP 白名单的鉴权

在某些情况下，你可能希望限制 WebSocket 连接只能来自特定 IP 地址范围。这时可以使用基于 IP 白名单的鉴权方式。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

const WebSocket = require('ws');

const allowedIPs = ['192.168.0.1', '10.0.0.2'];

const server = new WebSocket.Server({ port: 3000 });

server.on('connection', (socket, req) => {

    const clientIP = req.connection.remoteAddress;

     

    // 验证连接是否在白名单中

    if (allowedIPs.includes(clientIP)) {

        // 鉴权通过，进行后续操作

        socket.send('鉴权通过，欢迎连接！');

    } else {

        // 鉴权失败，关闭连接

        socket.close();

    }

});

方法 4：基于 OAuth 认证的鉴权

在需要与现有身份验证系统集成时，OAuth 认证是一种常见的选择。通过在连接时使用 OAuth 令牌，服务器可以验证用户的身份。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

const WebSocket = require('ws');

const axios = require('axios');

const server = new WebSocket.Server({ port: 3000 });

server.on('connection', async (socket, req) => {

    const accessToken = req.headers['authorization'];

     

    // 验证OAuth令牌的合法性

    try {

        const response = await axios.get('https://oauth-provider.com/verify', {

            headers: { Authorization: `Bearer ${accessToken}` }

        });

        if (response.data.valid) {

            // 鉴权通过，进行后续操作

            socket.send('鉴权通过，欢迎连接！');

        } else {

            // 鉴权失败，关闭连接

            socket.close();

        }

    } catch (error) {

        // 验证失败，关闭连接

        socket.close();

    }

});

其他常见方法...

除了以上介绍的方式，还有一些其他的鉴权方法，如基于 API 密钥、HTTP 基本认证等。根据具体需求，选择最适合项目的方式。

实践案例

基于 Token 的鉴权实践

  1. 在 WebSocket 连接时，客户端携带 Token 信息。
  2. 服务器接收 Token 信息并验证其合法性。
  3. 根据验证结果，允许或拒绝连接。

1

2

// 客户端代码

const socket = new WebSocket('ws://localhost:3000', ['Bearer YOUR_TOKEN']);

1

2

3

4

5

6

7

8

9

10

// 服务器端代码

server.on('connection', (socket, req) => {

    const token = req.headers['sec-websocket-protocol'];

     

    if (isValidToken(token)) {

        socket.send('鉴权通过，欢迎连接！');

    } else {

        socket.close();

    }

});

基于签名的鉴权实践

  1. 在 WebSocket 连接时，客户端计算签名并携带至服务器。
  2. 服务器接收签名信息，验证其合法性。
  3. 根据验证结果，允许或拒绝连接。

1

2

// 客户端代码

const socket = new WebSocket('ws://localhost:3000', { headers: { 'X-Signature': calculateSignature() } });

1

2

3

4

5

6

7

8

9

10

11

// 服务器端代码

server.on('connection', (socket, req) => {

    const signature = req.headers['x-signature'];

    const data = req.url + req.headers['sec-websocket-key'];

     

    if (isValidSignature(signature, data)) {

        socket.send('鉴权通过，欢迎连接！');

    } else {

        socket.close();

    }

});

基于 IP 白名单的鉴权实践

  1. 在 WebSocket 连接时，服务器获取客户端 IP 地址。
  2. 验证 IP 地址是否在白名单中。
  3. 根据验证结果，允许或拒绝连接。

1

2

3

4

5

6

7

8

9

10

// 服务器端代码

server.on('connection', (socket, req) => {

    const clientIP = req.connection.remoteAddress;

     

    if (allowedIPs.includes(clientIP)) {

        socket.send('鉴权通过，欢迎连接！');

    } else {

        socket.close();

    }

});

基于 OAuth 认证的鉴权实践

  1. 在 WebSocket 连接时，客户端携带 OAuth 令牌。
  2. 服务器调用 OAuth 服务验证令牌的合法性。
  3. 根据验证结果，允许或拒绝连接。

1

2

// 客户端代码

const socket = new WebSocket('ws://localhost:3000', { headers: { 'Authorization': 'Bearer YOUR_ACCESS_TOKEN' } });

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

// 服务器端代码

server.on('connection', async (socket, req) => {

    const accessToken = req.headers['authorization'];

     

    try {

        const response = await axios.get('https://oauth-provider.com/verify', {

            headers: { Authorization: `Bearer ${accessToken}` }

        });

        if (response.data.valid) {

            socket.send('鉴权通过，欢迎连接！');

        } else {

            socket.close();

        }

    } catch (error) {

        socket.close();

    }

});

提示、技巧和注意事项

  • 在选择鉴权方式时，要根据项目的实际需求和安全性要求进行合理选择。
  • 对于基于 Token 的鉴权，建议使用 JWT（JSON Web Token）来提高安全性。
  • 在验证失败时，及时关闭连接，以防止未授权的访问。

在 Apifox 中调试 WebSocket

如果你要调试 WebSocket 接口，并确保你的应用程序能够正常工作。这时，一个强大的接口测试工具就会派上用场。

Apifox 是一个比 Postman 更强大的接口测试工具，Apifox = Postman + Swagger + Mock + JMeter。它支持调试 http（s）、WebSocket、Socket、gRPC、Dubbo 等多种协议的接口，这使得它成为了一个非常全面的接口测试工具，所以强烈推荐去下载体验！

首先在 Apifox 中新建一个 HTTP 项目，然后在项目中添加 WebSocket 接口。

alt

alt

接着输入 WebSocket 的服务端 URL，例如：ws://localhost:3000，然后保存并填写接口名称，然后确定即可。

alt

alt

点击“Message 选项”然后写入“你好啊，我是 Apifox”，然后点击发送，你会看到服务端和其它客户端都接收到了信息，非常方便，快去试试吧！

alt

以下用 Node.js 写的 WebSocket 服务端和客户端均收到了消息。

alt

总结

通过本文的介绍，你应该对 WebSocket 鉴权有了更清晰的认识。不同的鉴权方式各有优劣，你可以根据具体情况选择最适合自己项目的方式。在保障通信安全的同时，也能提供更好的用户体验。

参考链接

  • MDN Web Docs - WebSocket
  • JSON Web Tokens
  • OAuth 2.0

学习更多：

  • WebSocket 如何建立连接

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/217563.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

RK3588硬编解码MPP环境配置

RK3588硬编解码MPP环境配置

1. 简介 瑞芯微提供的媒体处理软件平台（Media Process Platform，简称 MPP）是适用于瑞芯微芯片系列的 通用媒体处理软件平台。该平台对应用软件屏蔽了芯片相关的复杂底层处理，其目的是为了屏蔽不 同芯片的差异，为使用者…
阅读更多...
css给盒子写四个角

css给盒子写四个角

如图：之前一直用定位 现在发现可以用css写 background: linear-gradient(to top, #306eef, #306eef) left top no-repeat, /*上左*/ linear-gradient(to right, #306eef, #386eef) left top no-repeat, /*左上*/ linear-gradient(to left, #386eef, #306eef) righ…
阅读更多...
Linux网络——网络层

Linux网络——网络层

目录 一.IP协议（IPv4） 二.子网划分 三.特殊的IP地址 四.IP地址的数量限制 五.私有IP地址和公网IP地址 六.路由 七.分片 一.IP协议（IPv4） IP协议：提供一种能力使得数据从一个主机发送到另一个主机的能力。 TCP协…
阅读更多...
工业级 S25HS01GTDPBHV030 NOR闪存，L9305EP汽车级驱动器IC，LMK03318RHSR时钟发生器，PLL（中文资料）

工业级 S25HS01GTDPBHV030 NOR闪存，L9305EP汽车级驱动器IC，LMK03318RHSR时钟发生器，PLL（中文资料）

一、工业级 S25HS01GTDPBHV030 Semper™ NOR闪存 S25HS01GT SEMPER™ NOR Flash闪存系列是英飞凌高性能、安全而可靠的 NOR Flash解决方案。 它集成了适用于汽车、工业、通信等广泛应用的关键安全功能。 凭借 SEMPER™ NOR Flash闪存，英飞凌推出了业界首款符合 ASI…
阅读更多...
ArcGis如何用点连线？

ArcGis如何用点连线？

这里指的是根据已有坐标点手动连线，类似于mapgis中的“用点连线”，线的每个拐点是可以自动捕捉到坐标点的，比直接画精确。 我也相信这么强大的软件一定可以实现类似于比我的软件上坐标时自动生成的线，但是目前我还没接触到那里&a…
阅读更多...
MIPI 打怪升级之DSI篇

MIPI 打怪升级之DSI篇

MIPI 打怪升级之DSI篇 目录 1 Overview2 DSI Mode 2.1 Video 模式2.2 Command 模式3 DSI Physical Layer 3.1 数据流控3.2 双向性3.3 Video Mode Interfaces3.4 Command Mode Interfaces3.5 Clock4 多通道管理 4.1 通道数匹配4.2 线上数据分布5 DSI 协议 5.1 包格式 5.1.1 短包…
阅读更多...
模拟退火算法应用——求解一元函数的最小值

模拟退火算法应用——求解一元函数的最小值

仅作自己学习使用 一、问题 需求： 计算函数 的极小值，其中个体x的维数n10，即x(x1,x2,…,x10)，其中每一个分量xi均需在[-20,20]内。因此可以知道，这个函数只有一个极小值点x (0,0,…,0)，且其极小值是0&…
阅读更多...
Spring - Mybatis-设计模式总结

Spring - Mybatis-设计模式总结

Mybatis-设计模式总结 1、Builder模式 2、工厂模式 3、单例模式 4、代理模式 5、组合模式 6、模板方法模式 7、适配器模式 8、装饰者模式 9、迭代器模式 虽然我们都知道有26个设计模式，但是大多停留在概念层面，真实开发中很少遇到，…
阅读更多...
流量分析-PhishingEmail_WriteUp

流量分析-PhishingEmail_WriteUp

一、题目问题 问题1：黑客的email名称 问题2：黑客向几人发送了钓鱼邮件 问题3：黑客传输的木马文件名 问题4：下载并运行了木马文件的人的email名称和ip地址，用“-”连接 问题5：黑客用于反弹shell的主机i…
阅读更多...
YOLOv8 训练自己的分割数据集

YOLOv8 训练自己的分割数据集

之前写过一篇 使用YOLOv8训练自己的【目标检测】数据集-【收集数据集】-【标注数据集】-【划分数据集】-【配置训练环境】-【训练模型】-【评估模型】-【导出模型】，里面带大家整个流程走过一遍了， 这篇文章我们来介绍如何使用 YOLOv8 训练分割数据集&a…
阅读更多...
JAVA小游戏“简易版王者荣耀”

JAVA小游戏“简易版王者荣耀”

第一步是创建项目 项目名自拟 第二部创建个包名 来规范class 然后是创建类 GameFrame 运行类 package com.sxt;import java.awt.Graphics; import java.awt.Image; import java.awt.Toolkit; import java.awt.event.ActionEvent; import java.awt.event.ActionListener; im…
阅读更多...
Leetcode—55.跳跃游戏【中等】

Leetcode—55.跳跃游戏【中等】

2023每日刷题&#xff08;四十&#xff09; Leetcode—55.跳跃游戏 贪心法实现代码 #define MAX(a, b) ((a > b)? (a): (b))bool canJump(int* nums, int numsSize) {int k 0;for(int i 0; i < numsSize; i) {if(i > k) {return false;}k MAX(k, i nums[i]);}r…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023