使用令牌验证websocket客户端？

Question

我想为我的注册用户提供基于websocket的服务。网站前端运行在服务器A上，WebSocket-Service运行在服务器B上。

我希望确保服务器B不会将访问权限授予未经服务器A验证的用户。我还希望避免会话被劫持。

我想出了这个方法，但我从未为websockets实现过安全性。这可能是个好办法吗？

• 当客户端想连接到我的WebSocket时，服务器A从服务器B请求一个令牌。服务器B将生成此令牌并将其发送回服务器A。
• 服务器B将把令牌存储在缓存中。
• 现在允许客户端连接到WebSocket。客户端第一条消息包含令牌。
• 服务器B检查是否可以在缓存中找到令牌，以及活动会话是否已经使用令牌。
• 如果一切正常，客户端将被注册并允许使用该服务。

这样做好吗？有没有更好的解决方案，我不需要自己去实现？

我读过这样的解决方案：Best way to create a TOKEN system to authenticate web service calls?

但是由于我的用户每分钟会发送多达500条消息(这是可能的最高可能的value..but )，我认为这可能会引起一些麻烦……

Answer 1

饼干怎么了？

如果两台服务器位于同一个二级域中(web.example.com和websocket.example.com)，它们可以共享cookies。

websocket连接将在协商期间为该二级域发送现有的cookie。

因此，您可以在web服务器中执行身份验证，返回一个身份验证cookie，然后websocket将再次将该cookie发送到服务器。websocket服务器应该能够打开和读取cookie。

“每分钟500条消息”是每秒8条消息，这应该不是问题。一旦建立了Websocket连接，每条消息都不会有新的连接。websocket与webservice不同。

干杯。