JWT 身份验证在尝试建立 WebSocket 连接时阻止 SockJS 握手

Question

我有一个工作 Spring 带有身份验证/授权的引导服务器。 当试图打开与 SockJS 的连接时，它被我的其他安全措施阻止了。

我还不完全理解 Java 中的安全流程是如何工作的，但我很想在尝试与 SockJS 连接时通过握手传递 JWT 令牌。 据我了解，这对于 SockJS 是不可能的。 所以我只是在徘徊从 JWT 开始获取套接字的最佳方法是什么。 另外，我知道我没有启用 CSRF，所以一些提示也会很好。

在 WebSecurityConfig.java 中：

@Override
protected void configure(HttpSecurity httpSecurity) throws Exception {
    httpSecurity.cors();
    httpSecurity.csrf().disable()
    .authorizeRequests()
        .antMatchers("/authenticate", "/login", "/register").permitAll()
    .anyRequest().authenticated().and()
    .exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint).and().sessionManagement()
    .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    httpSecurity.addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class);
}
}

在 WebSocketConfig.java 中：

@Configuration
@EnableWebSocketMessageBroker
public class WebSocketConfig implements WebSocketMessageBrokerConfigurer {

    @Override
    public void configureMessageBroker(MessageBrokerRegistry config) {
        config.enableSimpleBroker("/topic");
        config.setApplicationDestinationPrefixes("/app");
    }

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        registry.addEndpoint("/ws")
            .setAllowedOrigins("http://localhost:5000")
            .withSockJS();
    }

}

在我的 Vue 应用程序中。 尝试与 JS 连接：

      connect() {
            this.socket = new SockJS("http://localhost:8080/ws");
            this.stompClient = Stomp.over(this.socket);
            this.stompClient.connect(
                {
                    token: 'Bearer ' +  localStorage.getItem('user-token')
                },
                frame => {
                this.connected = true;
                console.log(frame);
                this.stompClient.subscribe("/topic/greetings", tick => {
                    console.log(tick);
                    this.received_messages.push(JSON.parse(tick.body).content);
                });
                },
                error => {
                console.log(error);
                this.connected = false;
                })
      },

如果我删除所有安全配置，我可以连接到 WebSocket 就好了。

我希望能够连接到 WebSocket 但现在我得到一个 401 并且在握手时我找不到验证方法。

Answer 1

自遮阳篷

我通过禁用WebSecurityConfig.java中的握手路径的安全性来解决这个问题

.antMatchers(
  "/authenticate", 
  "/login", 
  "/register",
  "/secured/chat/**").permitAll()

我想我现在必须通过套接字对用户进行身份验证，因为这会使套接字对任何人开放，这是我并不真正想要的。