Socket.IO身份验证

服务器端:

//in io.on('connection')
io.on('connection', function(client) {
  client.on('message', function(message) {

    if(message.rediskey) {
      //fetch session info from redis
      redisclient.get(message.rediskey, function(e, c) {
        client.user_logged_in = c.username;
      });
    }

  });
});

我也很喜欢pusherapp做私人频道的方式.

Pusher生成一个唯一的套接字ID并将其发送到浏览器.这将通过AJAX请求发送到您的应用程序(1),该请求授权用户针对您现有的身份验证系统访问该通道.如果成功,您的应用程序会向使用Pusher secret签名的浏览器返回授权字符串.这是通过WebSocket发送给Pusher的,如果授权字符串匹配,则完成授权(2).

因为socket.io每个套接字也有唯一的socket_id.

socket.on('connect', function() {
        console.log(socket.transport.sessionid);
});

他们使用签名授权字符串来授权用户.

我还没有反映过这个socket.io,但我认为它可能是非常有趣的概念.

我知道这有点旧,但对于未来的读者,除了解析cookie和从存储中检索会话的方法(例如passport.socketio)之外,您还可以考虑基于令牌的方法.

在这个例子中,我使用非常标准的JSON Web Tokens.您必须向客户端页面提供令牌,在此示例中,假设一个返回JWT的身份验证端点:

var jwt = require('jsonwebtoken');
// other requires

app.post('/login', function (req, res) {

  // TODO: validate the actual user user
  var profile = {
    first_name: 'John',
    last_name: 'Doe',
    email: 'john@doe.com',
    id: 123
  };

  // we are sending the profile in the token
  var token = jwt.sign(profile, jwtSecret, { expiresInMinutes: 60*5 });

  res.json({token: token});
});

现在,您的socket.io服务器可以配置如下:

var socketioJwt = require('socketio-jwt');

var sio = socketIo.listen(server);

sio.set('authorization', socketioJwt.authorize({
  secret: jwtSecret,
  handshake: true
}));

sio.sockets
  .on('connection', function (socket) {
     console.log(socket.handshake.decoded_token.email, 'has joined');
     //socket.on('event');
  });

socket.io-jwt中间件期望查询字符串中的令牌,因此从客户端您只需在连接时附加它:

var socket = io.connect('', {
  query: 'token=' + token
});

我在这里写了一个关于这个方法和cookie的更详细的解释.