Socket.io中的身份验证

Question

我将尝试对 socket.io 上的连接进行身份验证。

目前，用户首先通过REST API进行身份验证，然后，我向用户发送一个JsonWebToken，其中包含经过身份验证的用户的用户名。打开客户端和服务器之间的连接后，我的计划是从连接的套接字列表中临时删除该套接字，以防止在执行身份验证时在服务器之间接收和发送数据。

在这个身份验证中，我验证令牌，如果令牌有效，我将套接字的id重新添加到已连接套接字的列表中。唯一的问题是第一部分不行。我似乎不能从列表中删除插座。

为了测试这一点，我做了以下操作。

io.on('connection', function(socket){
    //temp delete socket
    delete io.sockets.connected[socket.id];
    console.log(io.sockets.connected);
    socket.emit("test");
});

如您所见，我删除了套接字并发出一个测试事件来查看套接字是否仍然打开。客户端收到了不应该收到的消息。

有人知道为什么会发生这种情况吗？

Answer 1

socket.io还将套接字保存在命名空间中（如果未指定，则为默认值），并且需要将其删除才能停止接收消息。

请参阅这篇文章，逐步解释您要做的事情，以及这个抽象整个过程的模块。

Answer 2

尝试从套接字对象中使用断开连接方法，如下所示：

io.on('connection', function(socket){
    //temp delete socket
    socket.disconnect();

    console.log(io.sockets.connected);
    socket.emit("test");
});

更新:

例如，如果您的 HTTP 服务器向客户端提供令牌：

app.post('/api/users', function (req, res) {
  var user = {
    username: req.body.username
  };

  var token = jwt.sign(user, secret, {expiresInMinutes: 30});

  res.json({token: token});
});

然后，您可以重用该令牌来验证您的web套接字连接。

来自客户端的令牌发送代码(html文件)将是:

socket = io.connect('http://localhost:4000', {
  query: 'token=' + validToken,
  forceNew: true
});

并且服务器中的socketion授权码（socketion）将是：

// here is being used a socketio middleware to validate
// the token that has been sent
// and if the token is valid, then the io.on(connection, ..) statement below is executed
// thus the socket is connected to the websocket server.
io.use(require('socketio-jwt').authorize({
  secret: secret,
  handshake: true
}));



// but if the token is not valid, an error is triggered to the client
// the socket won't be connected to the websocket server.
io.on('connection', function (socket) {
  console.log('socket connected');
});

请注意，快车上用于生成令牌的秘密，相同的令牌也被用于Socketio中间件的验证令牌上。

我创建了一个示例，您可以在其中看到这种验证的工作原理，源代码在这里：https://gist.github.com/wilsonbalderrama/a2fa66b4d2b6eca05a5d

将它们复制到一个文件夹中，运行server.js with node，然后从浏览器的以下URL访问html文件:http://localhost:4000

但首先安装模块：socket.io，express，socketio-jwt，jsonwebtoken