WeBSocket 使用 spring 安全性在 Spring 中進行身份驗證

Question

根據官方 spring 文檔：

當建立 WebSocket 連接時，WebSockets 重用在 HTTP 請求中找到的相同身份驗證信息。 這意味着 HttpServletRequest 上的 Principal 將被移交給 WebSockets。 如果您使用的是 Spring 安全性，則 HttpServletRequest 上的 Principal 將被自動覆蓋。

More concretely, to ensure a user has authenticated to your WebSocket application, all that is necessary is to ensure that you setup Spring Security to authenticate your HTTP based web application.

如果我理解正確，這意味着 WebSocket 自握手以來使用相同的通信通道，因此應在第一次連接時進行身份驗證。

然而，沒有說明如何以標准的安全方式實際驗證握手。 據我所知 HTTP 在升級到 WebSockets 時不會發送身份驗證 header 那么它是如何完成的？

我真的需要在連接查詢中發送身份驗證令牌嗎，例如

localhost:8080/ws?Auth=... 

並將安全性留給 HTTPS

或者我是否需要在建立連接后驗證 WebSocket，例如創建我自己的握手？

有沒有適當的正式方式來做到這一點？ 我正在使用 RAW websockets。

感謝您的想法/幫助。

Answer 1

我個人使用 STOMP，但使用 STOMP（基本上是原始 WebSocks 上的通信框架），session cookie（來自 spring 安全性）與任何消息一起通過套接字發送。

您可以像使用StompAccessorHeader一樣：

  @MessageMapping("/agents/start")
    public void start(StompHeaderAccessor stompHeaderAccessor) {
        log.info("Subscriber Start! {}-{}", stompHeaderAccessor.getUser() != null ? stompHeaderAccessor.getUser().getName() : "ANON", stompHeaderAccessor.getSessionId());
        mysessionstore.addSessionId(stompHeaderAccessor.getSessionId());
    }

如果不使用 STOMP 框架，可能有一種方法可以讀取原始套接字上每個請求發送的 SessionCookie？

我不是 100% 確定，但我猜你正在使用TextWebSocketHandler實現：

@Override
protected void handleTextMessage(WebSocketSession session, TextMessage textMessage)

我可以在 WebSocketSession 的源代碼中看到您應該能夠在那里獲得您的主要身份驗證用戶：

https://github.com/spring-projects/spring-framework/blob/0de2833894c24c1e70bde991bad171435c6ecac2/spring-websocket/src/main/java/org/springframework/web/socket/WebSocketSession.java#L37

所以你像普通的 REST 一樣進行身份驗證，比如 POST "/login" 然后 session 也應該對 websockets 有效。

您可以通過套接字進行身份驗證嗎？ 您必須創建自己的套接字端點來獲取他們的憑據並執行SecurityContextHolder.getContext().setAuthentication(myAuthUserToken)但也許這會傳遞一個 session cookie 回來？ 你必須測試這個 ofc，因為我不確定它是否會起作用shrug 。

然后我個人創建了一個“存儲”（singleton 或 redis）來保存用戶主體和 socketSessionId，這樣我就可以將用戶與套接字匹配。

您可以說將它們存儲在 singleton 中，並使用HashMap<String,String> userPrincipalNameToSocketSessionId作為粗略的方式存儲套接字 session 屬於哪個用戶。

例如。

有一點像

@Override
protected void handleTextMessage(WebSocketSession session, TextMessage textMessage){
  MySessionStore.addSessionToMap(session.getPrincipal(),session.getId());
  log.info("Added user {} websocket session {} to the store.",session.getPrincipal(),session.getId());
}


public */MySingletonClass*/ MySessionStore{

@Getter
public static volatile HashMap<String,String> userPrinciapalToSocketMap = new HashMap<>();

//Method to add to map here
public synchronized static addToMap(String principalName,String webSocketSessionId){
...Adds to the map.
}

JWT 無狀態身份驗證系統想要一個套接字 Session？

據我所知，這...

您可以制作 controller：

Http GET => "/websocket-ticket"這將返回一個帶有用戶主體/用戶名/id 的簽名令牌，然后在 websocket 連接后作為第一條消息傳遞。

套接字處理程序TextMessageHandler可以檢查令牌的簽名並將其添加到您的HashMap<String,String> principalUserToSessionId存儲中。

安全問題（不太可能但確實存在）：

具有 XSS 的攻擊者可以窺探該令牌並劫持該 websocket session。 也許您在競爭條件下獲勝（即 MITM 需要更長的時間，並且令牌是一次性使用的......更精彩的實現......你現在還需要一個“websocket-ticket-consumed”商店......）。

https://devcenter.heroku.com/articles/websocket-security

我覺得這一切都在走向 X/Y 問題。 為什么要使用 JWT 進行身份驗證？