Socket.io:检查每个事件或连接的身份验证

Question

我想确保用户在发送聊天之前已登录。要做到这一点，我应该使用在每个连接上触发的身份验证中间件还是在每个事件上使用触发的中间件？

我担心，如果我使用前者，用户可以登录，然后登录(不失去连接)，并继续发送消息，而不是登录)。

然而，纵观所有不同的堆叠溢出帖子，没有人提到过这个问题。有人能告诉我常用的方法吗？

Answer 1

根据问题后面的注释，您可以配置两项以更好地保护用户。

优化您的socket.io实现：

1. 将socket.io实现升级到使用2.x。
2. 使用“socket.io#origins”配置消除任何域的默认CORS通配符。
3. 在socket.io连接中使用经过身份验证的会话。请参阅“socket.io#adapter”或“session.socket.io”模块选项。

调优网站安全标题：

1. 通过https://securityheaders.com运行站点(如果是公开的话)来测试当前的实现。
2. 使用OWASP的指南获得更多关于保护站点安全的选项，例如这个有关使用浏览器中可用的更新的安全头的选项。headers

来源：https://security.stackexchange.com/questions/89660/how-to-secure-my-node-js-socket-io-application-properly