在Spring中使用STOMP和WebSocket向特定用户发送消息时检查auth

Question

我在Spring4中使用内置的MessageBroker开发了一个实时通知系统，并在WebSocket上运行。

我想能够发送消息给一个特定的用户，根据他的用户名。为了实现这个目标，我使用了org的convertandtouser方法。springframework。信息。辛普。SimpMessageTemplate类，如下所示：

private final MessagingTemplate messagingTemplate;

@Autowired
public LRTStatusListener(SimpMessagingTemplate messagingTemplate) {
    this.messagingTemplate = messagingTemplate;
}


@Scheduled(fixedDelay=5000)
public void sendMessages(Principal principal)
    messagingTemplate
        .convertAndSendToUser(principal.getName(), "/horray", "Horray, " + principal.getName() + "!");
}

作为配置：

@Configuration
@EnableScheduling
@EnableWebSocketMessageBroker
public class WebSocketConfig extends AbstractWebSocketMessageBrokerConfigurer {

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        registry.addEndpoint("/notifications").withSockJS();
    }

    @Override
    public void configureMessageBroker(MessageBrokerRegistry registry) {
        registry.enableSimpleBroker("/topic", "/queue", "/user");
    }

}

客户端（通过JavaScript），我应该通过指定用户名订阅一个频道（根据另一个非常类似的问题：在SpringWebSocket上向特定用户发送消息）。

stompClient.subscribe('/user/' + username + '/horray, ...) 

最后一点听起来很奇怪...

假设我在我的网络应用程序上以w.white的身份登录，通过订阅：

stompClient.subscribe('/user/w.white/horray, ...)

... 我将能够看到发送给w.white的消息，这太棒了。。。但订阅：

stompClient.subscribe('/user/j.pinkman/horray, ...)

... 我将能够看到发送给j.pinkman的消息，尽管我目前以w.white的身份登录。

这是克服这个问题的一种方法吗？

下面是关于WebSocket连接的日志：

Opening Web Socket... 
Web Socket Opened... 
>>> CONNECT
accept-version:1.1,1.0
heart-beat:10000,10000

<<< CONNECTED
user-name:w.white
heart-beat:0,0
version:1.1

connected to server undefined
Connected: CONNECTED
version:1.1
heart-beat:0,0
user-name:w.white

>>> SUBSCRIBE
id:sub-0
destination:/topic/lrt

>>> SUBSCRIBE
id:sub-1
destination:/user/lrt

Answer 1

由于我的应用程序上的用户没有经过身份验证，我只是使用会话Id来区分不同的主题

在服务器上：

template.convertAndSend("/topic/warnings/" + sessionId, ...)

客户非常直截了当

stompClient.subscribe('/topic/warnings/${pageContext.session.id}', ...

也许不是最干净的方式，但它可以工作，没有身份验证，我无法使用/user通道

Answer 2

我找到了解决办法。

首先，重要的是要知道，/user频道已经由Spring STOMP管理，顺便说一句，不需要注册。

因此：

@Override
public void configureMessageBroker(MessageBrokerRegistry registry) {
    registry.enableSimpleBroker("/topic", "/queue");
}

然后，我将目标频道设置为/queue/horray：

@Scheduled(fixedDelay=5000)
public void sendMessages(Principal principal)
    messagingTemplate
        .convertAndSendToUser(principal.getName(), "/queue/horray", "Horray, " + principal.getName() + "!");
}

最后，在客户端：

stompClient.subscribe('/user/queue/horray', '...');

现在，它工作得很好！根据安全上下文获取的主体，消息仅发送给指定的收件人。