使用气氛下拉向导进行身份验证

Question

您好，我正在寻找一种方法，在用户建立WebSocket连接时对其进行身份验证，如果用户未通过身份验证，则关闭连接。我使用Dropwizard框架和氛围进行WebSocket连接。下面是我使用的示例。如果我可以在连接建立时使用Dropwizard提供的“@Auth”注释进行身份验证，那就太好了。

Answer 1

你是怎么曝光的？是通过javascript前端吗？

您使用的是链接中描述的基于servlet的方法，如下所示：https://cvwjensen.wordpress.com/2014/08/02/websockets-in-dropwizard/，而不是新泽西州的气氛扩展？

如果您使用的是基于 servlet 的方法，建议使用基于令牌的方法将令牌放在 http 标头中，然后在 @Ready 处理程序方法中访问此标头，如下所示：

@Ready
public String onReady(final AtmosphereResource resource) {
    String AuthHeader = resource.getRequest().getHeader("Authorization");

    ...DO AUTH HERE

    logger.info("Resource {} connected ", resource.uuid());
    return "Connect " + resource.uuid();
}

然后，如果auth失败，您也可以很容易地关闭连接。然而，根据您的客户端实现，您可能需要考虑这一点。如果客户机在关闭时自动重新连接，您将面临一个不断关闭和打开套接字的场景，这可能会导致资源耗尽。如果auth不成功，您可以存储一个私有变量来声明这个实例是否经过了身份验证，并只删除发送给它的任何消息或处理来自它的任何消息。这也是一种让攻击者知道auth失败的“模糊”方式，它只是处于一种不确定状态；已连接，但未出现故障或关闭。只是收不到任何数据。但是同样，这是特定于您的实现的。

Jwt身份验证是一个选项，请查看此内容：https://github.com/ToastShaman/dropwizard-auth-jwt。我已经，虽然没有公开，但将此实现移植到拖放0.8rc3快照。如果你需要这个，请让我知道，我可以把它发布到github。