Websockets istemci API'sındaki HTTP üstbilgileri

Bunu destekleyen herhangi bir HTTP üstbilgisi istemcisi ile websocket istemcinize özel HTTP üstbilgileri eklemenin kolay olduğu anlaşılıyor, ancak JSON API ile nasıl yapılacağını bulamıyorum.

Yine de, bu başlıklarda spesifikasyonda destek olması gerektiği görülmektedir .

Bunu nasıl başaracağına dair bir ipucu var mı?

var ws = new WebSocket("ws://example.com/service");

Özellikle, bir HTTP Yetkilendirme başlığı gönderebilmem gerekiyor.

Güncelleme 2x

Kısa cevap: Hayır, yalnızca yol ve protokol alanı belirtilebilir.

Daha uzun cevap:

JavaScript WebSockets API'sında , istemcinin / tarayıcının göndereceği ek başlıkları belirtmek için herhangi bir yöntem yoktur . HTTP yolu ("GET / xyz") ve protokol başlığı ("Sec-WebSocket-Protocol") WebSocket yapıcısında belirtilebilir.

Sec-WebSocket-Protocol üstbilgisi (bazen websocket'a özgü kimlik doğrulamasında kullanılmak üzere genişletilir), isteğe bağlı ikinci bağımsız değişkenten WebSocket yapıcısına oluşturulur:

var ws = new WebSocket("ws://example.com/path", "protocol");
var ws = new WebSocket("ws://example.com/path", ["protocol1", "protocol2"]);

Yukarıdaki sonuçlar aşağıdaki başlıklarla sonuçlanır:

Sec-WebSocket-Protocol: protocol

ve

Sec-WebSocket-Protocol: protocol1, protocol2

WebSocket kimlik doğrulaması / yetkilendirmesi elde etmek için yaygın bir desen, WebSocket istemcisini barındıran sayfanın sunucudan bir bilet istediği ve daha sonra bu bileti WebSocket bağlantı kurulumu sırasında URL / sorgu dizesinde, protokol alanında geçirdiği bir biletleme sistemi uygulamaktır. veya bağlantı kurulduktan sonraki ilk mesaj olarak gereklidir. Bu durumda sunucu, bağlantının yalnızca bilet geçerliyse devam etmesine izin verir (var, henüz kullanılmamış, bilet maçlarında istemci IP'si kodlanmış, bilette zaman damgası yeni olmuşsa, vb.). WebSocket güvenlik bilgilerinin bir özeti: https://devcenter.heroku.com/articles/websocket-security

Temel kimlik doğrulama eskiden bir seçenekti, ancak bu kullanımdan kaldırılmıştır ve modern tarayıcılar, belirtilse bile üstbilgiyi göndermez.

Temel Yetkilendirme Bilgisi (Kullanımdan kaldırıldı) :

Yetkilendirme başlığı, WebSocket URI'sının kullanıcı adı ve şifre (veya yalnızca kullanıcı adı) alanından oluşturulur:

var ws = new WebSocket("ws://username:password@example.com")

Yukarıdaki sonuç, "kullanıcı adı: şifre" base64 kodlu dizeyle aşağıdaki üstbilgiyle sonuçlanır:

Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

Chrome 55 ve Firefox 50'de temel yetkilendirmeyi test ettim ve temel yetkilendirme bilgilerinin gerçekten sunucu ile pazarlık edildiğini doğruladım (bu Safari'de çalışmayabilir).

Temel kimlik yanıtı için Dmitry Frank'a teşekkürler

Daha fazla alternatif çözüm, ancak tüm modern tarayıcılar alan çerezlerini bağlantıyla birlikte gönderir, bu nedenle:

var authToken = 'R3YKZFKBVi';

document.cookie = 'X-Authorization=' + authToken + '; path=/';

var ws = new WebSocket(
    'wss://localhost:9000/wss/'
);

Sonunda istek bağlantı üstbilgileri bulunur:

Cookie: X-Authorization=R3YKZFKBVi

HTTP Yetkilendirme başlığı sorunu aşağıdakilerle giderilebilir:

var ws = new WebSocket("ws://username:password@example.com/service");

Ardından, sağlanan usernameve ile uygun bir Temel Yetkilendirme HTTP üst bilgisi ayarlanır password. Temel Yetkilendirmeye ihtiyacınız varsa, hazırsınız demektir.

BearerAncak kullanmak istiyorum ve aşağıdaki hile başvurdu: Sunucuya aşağıdaki gibi bağlanır:

var ws = new WebSocket("ws://my_token@example.com/service");

Sunucu tarafındaki kodum boş olmayan kullanıcı adı ve boş parola ile Temel Yetkilendirme başlığını aldığında, kullanıcı adını bir belirteç olarak yorumlar.

Üstbilgi ekleyemezsiniz, ancak bağlantı anında sunucuya değerleri iletmeniz gerekiyorsa, url'de bir sorgu dizesi parçası belirtebilirsiniz:

var ws = new WebSocket("ws://example.com/service?key1=value1&key2=value2");

Bu URL geçerlidir, ancak - elbette - ayrıştırmak için sunucu kodunuzu değiştirmeniz gerekir.

JavaScript WebSockets API'sını kullanarak WebSockets bağlantısı kurmak istediğinizde özel başlık gönderemezsiniz. Subprotocolsİkinci WebSocket sınıfı yapıcısını kullanarak başlıkları kullanabilirsiniz :

var ws = new WebSocket("ws://example.com/service", "soap");

ve sonra Sec-WebSocket-Protocolsunucudaki anahtarı kullanarak Subprotocols üstbilgilerini alabilirsiniz .

Ayrıca bir sınırlama vardır, Subprotocols başlık değerleriniz virgül ( ,) içeremez !

Gönderme Yetkilendirmesi başlığı mümkün değil.

Belirteç sorgusu parametresi eklemek bir seçenektir. Bununla birlikte, bazı durumlarda, ana giriş simgenizi bir sorgu parametresi olarak düz metin olarak göndermek istenmeyen bir durum olabilir, çünkü bir başlık kullanmaktan daha opaktır ve kimin nerede olduğunu kaydeder. Bu sizin için güvenlik endişeleri doğurursa , bir alternatif sadece web soketi şeyler için ikincil bir JWT jetonu kullanmaktır .

Bu JWT'yi oluşturmak için bir REST bitiş noktası oluşturun ; bu, elbette yalnızca birincil giriş simgenizle kimliği doğrulanmış kullanıcılar tarafından erişilebilir (başlık üzerinden aktarılır). Web soketi JWT, oturum açma simgenizden farklı bir şekilde yapılandırılabilir, örneğin daha kısa bir zaman aşımı ile, bu nedenle yükseltme isteğinizin sorgu parametresi olarak göndermek daha güvenlidir.

SockJS eventbusHandler'ı kaydettiğiniz rota için ayrı bir JwtAuthHandler oluşturun . İlk önce kimlik doğrulama işleyicinizin kayıtlı olduğundan emin olun, böylece web soket belirtecini veritabanınıza göre kontrol edebilirsiniz (JWT bir şekilde arka uçtaki kullanıcıyla bağlantılı olmalıdır).

Tamamen böyle kırdı, kanaka cevabı sayesinde.

Müşteri:

var ws = new WebSocket(
    'ws://localhost:8080/connect/' + this.state.room.id, 
    store('token') || cookie('token') 
);

Sunucu (bu örnekte Koa2 kullanılıyor, ancak her yerde benzer olmalıdır):

var url = ctx.websocket.upgradeReq.url; // can use to get url/query params
var authToken = ctx.websocket.upgradeReq.headers['sec-websocket-protocol'];
// Can then decode the auth token and do any session/user stuff...

Benim olayım:

• Bir üretim WS sunucusuna bağlanmak istiyorum www.mycompany.com/api/ws...
• gerçek kimlik bilgileri (bir oturum çerezi) kullanılıyor ...
• yerel bir sayfadan ( localhost:8000).

document.cookie = "sessionid=foobar;path=/"Alanlar eşleşmediğinden ayar yardımcı olmaz.

Çözüm :

Ekle 127.0.0.1 wsdev.company.comiçin /etc/hosts.

Tarayıcınız çerezleri kullanır Bu şekilde mycompany.combağlanırken www.mycompany.com/api/wsgeçerli bir alt alan adından bağlanıyorsanız olarak wsdev.company.com.

Benim durumumda (Azure Time Series Insights wss: //)

ReconnectingWebsocket sarıcısını kullanarak ve basit bir çözümle başlık eklemeyi başardı:

socket.onopen = function(e) {
    socket.send(payload);
};

Bu durumda yükün nerede olduğu:

{
  "headers": {
    "Authorization": "Bearer TOKEN",
    "x-ms-client-request-id": "CLIENT_ID"
}, 
"content": {
  "searchSpan": {
    "from": "UTCDATETIME",
    "to": "UTCDATETIME"
  },
"top": {
  "sort": [
    {
      "input": {"builtInProperty": "$ts"},
      "order": "Asc"
    }], 
"count": 1000
}}}

Teknik olarak, bu başlıkları protokol yükseltme aşamasından önce connect işlevi aracılığıyla göndereceksiniz. Bu benim için bir nodejsprojede çalıştı :

var WebSocketClient = require('websocket').client;
var ws = new WebSocketClient();
ws.connect(url, '', headers);

Üstbilgileri, bir nesnenin içindeki üçüncü parametrede (seçenekler) anahtar / değer çifti olarak iletebilirsiniz . Yetkilendirme belirteci örneği. Protokolü (ikinci parametre) null olarak bıraktı

ws = yeni WebSocket ('ws: // localhost', null, {headers: {Authorization: token}})

Düzenleme: Bu yaklaşım sadece standart tarayıcı uygulaması ile değil, nodejs kütüphanesi ile çalışır gibi görünüyor. Onu bırakmak, çünkü bazı insanlar için yararlı olabilir.