Vertx SockJs Eventbus认证

Question

我想做一只袜子。前端到vertx后端的js连接。

我最初的尝试如下所示：

let token = '<the token>';
let data = {'Authorization' : 'Bearer ' + token};
let eb = new EventBus("http://localhost:8080/eventbus");
  eb.onopen = function () {
  eb.registerHandler('notifications', data, (err, msg) =>  {
    // handle the response
  });
}

这不起作用，因为我需要在创建EventBus时发送身份验证数据，即使是官方的sock。js文档指出这是不受支持的。显然，现在正在发送新的EventBus（“http://localhost:9090/eventbus“，数据）也不起作用。

https://github.com/sockjs/sockjs-node#authorisation

我的后端处理程序：

final BridgeOptions bridgeOptions = new BridgeOptions()
  .addOutboundPermitted(new PermittedOptions().setAddress("notifications"))

final SockJSHandler sockJSHandler = SockJSHandler.create(vertx).bridge(bridgeOptions, event -> {
  event.complete(true);
});

router.route("/eventbus/*").handler(ctx -> {
  String token = ctx.request().getHeader("Authorization"); // null
});
router.route("/eventbus/*").handler(sockJSHandler);

无论我尝试了什么，头字段Authroation始终为空。

验证sock的标准方法是什么。js连接并注册到vertx中的eventbus请求？

Answer 1

我认为保护网络插座的最好方法是使用CORS检查

跨源资源共享是允许请求资源的安全机制

router.route().handler(CorsHandler.create(your host origin path).allowCredentials(true));

我们还可以使用sockjs添加更多的安全层：

允许指定地址的事件进入/离开事件总线网桥

 BridgeOptions opts = new BridgeOptions()
          .addInboundPermitted(new PermittedOptions().setAddressRegex(Constants.INBOUND_REGEXP));

Answer 2

由于无法发送授权标头，因此附加令牌查询参数（如@berserkk所述）是可行的方法。

然而，在某些情况下，可能不希望以纯文本形式将主登录令牌作为查询参数发送，因为它比使用标头更不透明，最终将被记录在whowknowswhere。如果这引起了您的安全问题，另一种选择是仅对web套接字内容使用辅助JWT令牌。

创建一个RESTendpoint以生成此JWT，当然，只有通过您的主登录令牌（通过标头传输）进行身份验证的用户才能访问该JWT。web socket JWT的配置可以不同于您的登录令牌，例如超时时间更短，因此作为升级请求的查询参数发送更安全。

为注册SockJS EventBushHandler的同一路由创建单独的JwtAuthHandler。确保首先注册了身份验证处理程序，以便根据数据库检查web套接字令牌（JWT应该以某种方式链接到后端的用户）。

Answer 3

默认情况下，SockJS使用WebSockets。不能使用JavaScript WebSocket API添加自定义头（授权等）。阅读此线程以获取更多解释。

我看到了两种方法，即如何添加授权：

>

let eb = new EventBus("http://localhost:8080/eventbus?token=" + token);

下面是如何在服务器上获取它：

String token = ctx.request().getParam("token");

连接到服务器后发送授权消息。它可以是一些JSON对象，其中包含标记字段。

我认为，第一个选项就足够了，但第二个选项在事件总线和SockJS方面可能更难实现。