Spring Session，Websocket，REST令牌安全

Question

当前，我们有一个Spring应用程序，其中包含REST API和Websocket Broker端点，以获取数据库更改的实时更新。

我们已经成功地使用嵌入式redis服务器迁移到了Spring Session项目，该服务器通过基本身份验证进行身份验证，并且会话ID可以在后续请求中用作x-auth-token标头。

我们面临的问题是保护Websocket的安全。 在Angular上，我们在stomp.js / sockjs库周围有一个包装指令，但似乎无法弄清楚如何在Websocket升级请求中设置x-auth-token标头。

我们做错什么了吗？ 建议采用哪种安全方式来处理这种安全方案？

堆：

• 的Tomcat 7.0.57
• Spring Security 4.0.0.RC2
• 春季会议1.0.0.RELEASE
• Spring MVC 4.1.4
• AngularJS 1.2.28

Answer 1

看起来JS Websocket API不允许在初始握手和升级请求上设置HTTP标头。

正确的方案是在CONNECT帧上发送身份验证令牌，并在服务器端相应地进行处理。 因此，到目前为止，我们已经迁移到浏览器cookie会话，直到我们在服务器端找到合适的实现。