WeBSocket 使用 spring 安全性在 Spring 中进行身份验证

Question

根据官方 spring 文档：

当建立 WebSocket 连接时，WebSockets 重用在 HTTP 请求中找到的相同身份验证信息。 这意味着 HttpServletRequest 上的 Principal 将被移交给 WebSockets。 如果您使用的是 Spring 安全性，则 HttpServletRequest 上的 Principal 将被自动覆盖。

More concretely, to ensure a user has authenticated to your WebSocket application, all that is necessary is to ensure that you setup Spring Security to authenticate your HTTP based web application.

如果我理解正确，这意味着 WebSocket 自握手以来使用相同的通信通道，因此应在第一次连接时进行身份验证。

然而，没有说明如何以标准的安全方式实际验证握手。 据我所知 HTTP 在升级到 WebSockets 时不会发送身份验证 header 那么它是如何完成的？

我真的需要在连接查询中发送身份验证令牌吗，例如

localhost:8080/ws?Auth=... 

并将安全性留给 HTTPS

或者我是否需要在建立连接后验证 WebSocket，例如创建我自己的握手？

有没有适当的正式方式来做到这一点？ 我正在使用 RAW websockets。

感谢您的想法/帮助。

Answer 1

我个人使用 STOMP，但使用 STOMP（基本上是原始 WebSocks 上的通信框架），session cookie（来自 spring 安全性）与任何消息一起通过套接字发送。

您可以像使用StompAccessorHeader一样：

  @MessageMapping("/agents/start")
    public void start(StompHeaderAccessor stompHeaderAccessor) {
        log.info("Subscriber Start! {}-{}", stompHeaderAccessor.getUser() != null ? stompHeaderAccessor.getUser().getName() : "ANON", stompHeaderAccessor.getSessionId());
        mysessionstore.addSessionId(stompHeaderAccessor.getSessionId());
    }

如果不使用 STOMP 框架，可能有一种方法可以读取原始套接字上每个请求发送的 SessionCookie？

我不是 100% 确定，但我猜你正在使用TextWebSocketHandler实现：

@Override
protected void handleTextMessage(WebSocketSession session, TextMessage textMessage)

我可以在 WebSocketSession 的源代码中看到您应该能够在那里获得您的主要身份验证用户：

https://github.com/spring-projects/spring-framework/blob/0de2833894c24c1e70bde991bad171435c6ecac2/spring-websocket/src/main/java/org/springframework/web/socket/WebSocketSession.java#L37

所以你像普通的 REST 一样进行身份验证，比如 POST "/login" 然后 session 也应该对 websockets 有效。

您可以通过套接字进行身份验证吗？ 您必须创建自己的套接字端点来获取他们的凭据并执行SecurityContextHolder.getContext().setAuthentication(myAuthUserToken)但也许这会传递一个 session cookie 回来？ 你必须测试这个 ofc，因为我不确定它是否会起作用shrug 。

然后我个人创建了一个“存储”（singleton 或 redis）来保存用户主体和 socketSessionId，这样我就可以将用户与套接字匹配。

您可以说将它们存储在 singleton 中，并使用HashMap<String,String> userPrincipalNameToSocketSessionId作为粗略的方式存储套接字 session 属于哪个用户。

例如。

有一点像

@Override
protected void handleTextMessage(WebSocketSession session, TextMessage textMessage){
  MySessionStore.addSessionToMap(session.getPrincipal(),session.getId());
  log.info("Added user {} websocket session {} to the store.",session.getPrincipal(),session.getId());
}


public */MySingletonClass*/ MySessionStore{

@Getter
public static volatile HashMap<String,String> userPrinciapalToSocketMap = new HashMap<>();

//Method to add to map here
public synchronized static addToMap(String principalName,String webSocketSessionId){
...Adds to the map.
}

JWT 无状态身份验证系统想要一个套接字 Session？

据我所知，这...

您可以制作 controller：

Http GET => "/websocket-ticket"这将返回一个带有用户主体/用户名/id 的签名令牌，然后在 websocket 连接后作为第一条消息传递。

套接字处理程序TextMessageHandler可以检查令牌的签名并将其添加到您的HashMap<String,String> principalUserToSessionId存储中。

安全问题（不太可能但确实存在）：

具有 XSS 的攻击者可以窥探该令牌并劫持该 websocket session。 也许您在竞争条件下获胜（即 MITM 需要更长的时间，并且令牌是一次性使用的......更精彩的实现......你现在还需要一个“websocket-ticket-consumed”商店......）。

https://devcenter.heroku.com/articles/websocket-security

我觉得这一切都在走向 X/Y 问题。 为什么要使用 JWT 进行身份验证？