Websocket、Angular 2 和 JSON Web 令牌身份验证

我的 Angular 2 应用程序（用打字稿编码）有一个简单的身份验证方案：

• 用户登录：
• 服务器返回 JSON Web 令牌 (JWT)abc123...
• 在每次 API 调用时，应用程序都会将 JWT 发送到Authorization header
• 服务器验证 JWT 并授予访问权限

现在我想添加网络套接字。我想知道如何对那里的用户进行身份验证。由于我不控制将哪些标头发送到 websocket 服务器 (WS)，因此我无法发送 JWT。

到目前为止我的想法（尚未实施）：

• 客户端打开websocket：let sock = new WebSocket('wss://example.com/channel/');
• WS 服务器接受握手而不进行任何身份验证检查。标准 HTTP 标头在此阶段可用。
• Client listens to the open event on the socket. Once the socket is open:
  • 客户端发送一条消息type='auth' payload='JWT_VALUE'
• WS server expects 1st message on a socket to be of type auth. Once that is received, server reads the payload, validates JWT_VALUE and sets an isAuthenticated flag
  • 如果验证失败，服务器将断开套接字
  • 如果客户没有isAuthenticated发送任何其他类型的消息，服务器断开套接字

2 个问题：服务器资源可能会被连接但从不发送 JWT 的客户端占用，如果客户端未经身份验证，更干净的解决方案会阻止握手。

其他想法：

• Client could send JWT in the path: new WebSocket('wss://example.com/channel/<JWT>/')
  • 优点：此信息在握手期间可用
  • 缺点：该路径似乎不是 JWT 的“合适”位置。具体是因为中间代理和访问日志会保存路径；在设计 HTTP API 时，我已经决定不在 u​​rl 中包含 JWT
• Server could read the client's IP + UserAgent and match against a DB record that was created by the HTTP server when the JWT was issued. Server will then guess who is connecting
  • 优点：此信息可能在握手期间可用（不确定 IP）
  • 缺点：“似乎非常不安全”guess“当客户端从一开始就没有提供 JWT 时，客户端就应该与 JWT 相关联。这意味着，例如有人欺骗受害者的 UA 并使用相同的网络（代理、公共 wifi、大学内联网......）将能够冒充受害者。

如何对 Websocket 上的客户端进行身份验证？假设用户已经通过 HTTP 登录，并且 Angular 2 应用程序具有 JWT 令牌。

我决定采用以下协议：

1.客户端登录站点并接收身份验证令牌（JSON Web 令牌）

GET /auth
{
    user: 'maggie',
    pwd:  'secret'
}

// response
{ token: '4ad42f...' }

2.经过身份验证的客户端请求 websocket 连接票证

GET /ws_ticket
Authorization: Bearer 4ad42f...

// response: single-use ticket (will only pass validation once)
{ ticket: 'd76a55...', expires: 1475406042 }

3.客户端打开 websocket，在查询参数中发送票证

var socket = new WebSocket('wss://example.com/channel/?ticket=d76a55...');

4.然后，Websocket 服务器 (PHP) 在接受握手之前验证票证

/**
* Receives the URL used to connect to websocket. Return true to admit user,
* false to reject the connection
*/
function acceptConnection($url){
    $params = parse_str(parse_url($url, PHP_URL_QUERY));
    return validateTicket($params['ticket']);
}

/** Returns true if ticket is valid, never-used, and not expired. */
function validateTicket($ticket){/*...*/}