WebSocket用户验证

在WebSocket中，如何携带用户的验证信息

一、在OnMessage中进行验证

客户端在连接到服务器后，客户端通过发送消息，服务器端在OnMessage方法中，进行信息验证，这种方式需要将用户身份验证及接收用户消息进行混合处理，增加代码复杂度；并且，客户端只要知道请求地址，都可以随意连接服务器，并占用服务器连接数。

二、将Token或验证信息通过路径或请求参数进行添加

使用这种方式，需要将验证信息加入到请求路径或者请求参数中，如：ws://127.0.0.1:8080/websocket/message?token=dsfsdfdsf.sdfasdfsdflkj，安全性较差，需要对验证信息进行加密处理

三、通过Header中的Sec-WebSocket-Protocol进行传输

使用该种方式，需要注意，在响应服务器请求时，需要将该参数原封不动的返回给客户端，否则将报错

若依框架集成WebSocket

1、下载代码并添加到若依的framework包中

2、在启动类中添加@EnableWebSocket

3、修改TokenService.java中的getToken方法，添加获取websocket Header方法

private String getToken(HttpServletRequest request){String token = request.getHeader(header);if(StringUtils.isBlank(token)) {token = request.getHeader("Sec-Websocket-Protocol");}if (StringUtils.isNotEmpty(token) && token.startsWith(Constants.TOKEN_PREFIX)){token = token.replace(Constants.TOKEN_PREFIX, "");}return token;}

4、修改JwtAuthenticationTokenFilter.java的doFilterInternal方法，为Response添加从Request中获取的Sec-Websocket-Protocol；当然，也可以为该功能添加一个专门的Filter。

如果没有在Response中添加Sec-Websocket-Protocol信息，将在客户端请求连接时报错，导致无法建立连接

    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)throws ServletException, IOException{LoginUser loginUser = tokenService.getLoginUser(request);if (StringUtils.isNotNull(loginUser) && StringUtils.isNull(SecurityUtils.getAuthentication())){tokenService.verifyToken(loginUser);UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(loginUser, null, loginUser.getAuthorities());authenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));SecurityContextHolder.getContext().setAuthentication(authenticationToken);}String token = request.getHeader("Sec-Websocket-Protocol");if (StringUtils.isNotNull(token)) {response.addHeader("Sec-Websocket-Protocol", token);}chain.doFilter(request, response);}

5、前端WebSocket客户端添加用户验证信息