使用 Spring Security 在 Spring 中进行 WebSocket 身份验证

Question

根据spring官方文档：

WebSockets 重用与在 建立 WebSocket 连接时的 HTTP 请求。这意味着 HttpServletRequest 上的 Principal 将被移交给 网络套接字。如果您使用的是 Spring Security，则 HttpServletRequest 被自动覆盖。

更具体地说，确保用户已通过您的 WebSocket 的身份验证 应用程序，只需要确保您设置了 Spring 对基于 HTTP 的 Web 应用程序进行身份验证的安全性。

如果我理解正确，这意味着 WebSocket 自握手以来使用相同的通道进行通信，因此应该在第一次连接时进行身份验证。

但是没有说明如何以标准的安全方式实际验证握手。据我所知，HTTP 在升级到 WebSocket 时不会发送 Authentication 标头，那么它是如何完成的？

我真的需要在连接查询中发送身份验证令牌吗，例如

localhost:8080/ws?Auth=... 

并将安全性留给 HTTPS

或者我是否需要在建立连接后验证 WebSocket，例如创建我自己的握手？

有没有适当的正式方式来做到这一点？我正在使用 RAW websockets。

感谢您的想法/帮助。

Answer 1

我个人使用 STOMP，但使用 STOMP（基本上是一个在原始 WebSocks 上进行通信的框架），会话 cookie（来自 spring security）与任何消息一起通过套接字发送。

您可以使用StompAccessorHeader 喜欢：

  @MessageMapping("/agents/start")
    public void start(StompHeaderAccessor stompHeaderAccessor) {
        log.info("Subscriber Start! {}-{}", stompHeaderAccessor.getUser() != null ? stompHeaderAccessor.getUser().getName() : "ANON", stompHeaderAccessor.getSessionId());
        mysessionstore.addSessionId(stompHeaderAccessor.getSessionId());
    }

如果不使用 STOMP 框架，是否有办法读取原始套接字上每个请求发送的 SessionCookie？

我不是 100% 确定，但我猜你正在使用 TextWebSocketHandler 实现：

@Override
protected void handleTextMessage(WebSocketSession session, TextMessage textMessage)

我可以在 WebSocketSession 的源代码中看到您应该能够在那里获得您的主要身份验证用户：

https://github.com/spring-projects/spring-framework/blob/0de2833894c24c1e70bde991bad171435c6ecac2/spring-websocket/src/main/java/org/springframework/web/socket/WebSocketSession.java#L37

因此，您可以像 POST "/login" 之类的普通 REST 一样进行身份验证，然后该会话也应该对 websocket 有效。

您可以通过套接字进行身份验证吗？您必须创建自己的套接字端点来获取他们的凭据并执行SecurityContextHolder.getContext().setAuthentication(myAuthUserToken) 但也许这会返回一个会话cookie？你必须测试这个 ofc，因为我不确定它是否会起作用耸耸肩。

然后我个人创建一个“存储”（单例或 redis）来保存用户主体和 socketSessionId，这样我就可以将用户与套接字匹配。

您可以说将它们存储在带有HashMap<String,String> userPrincipalNameToSocketSessionId 的单例中，作为存储哪个套接字会话属于哪个用户的粗略方式。

例如。

有点像

@Override
protected void handleTextMessage(WebSocketSession session, TextMessage textMessage){
  MySessionStore.addSessionToMap(session.getPrincipal(),session.getId());
  log.info("Added user {} websocket session {} to the store.",session.getPrincipal(),session.getId());
}


public */MySingletonClass*/ MySessionStore{

@Getter
public static volatile HashMap<String,String> userPrinciapalToSocketMap = new HashMap<>();

//Method to add to map here
public synchronized static addToMap(String principalName,String webSocketSessionId){
...Adds to the map.
}

需要 Socket 会话的 JWT 无状态身份验证系统？

据我所知，这个...除非有很多重写和实际上分叉/扩展很多 Spring 类...

你可以做一个控制器：

Http GET => "/websocket-ticket" 将返回一个带有用户主体/用户名/id 的签名令牌，供用户体验使用，然后在 websocket 连接后作为第一条消息传递。

套接字处理程序TextMessageHandler 可以检查令牌的签名并将其添加到您的HashMap<String,String> principalUserToSessionId 存储中。

安全问题（不太可能但确实存在）：

具有 XSS 的攻击者可以窥探该令牌并劫持该 websocket 会话。也许你在比赛条件下获胜（即 MITM 需要更长的时间，并且令牌是一次性使用的......更精彩的实现......你现在还需要一个“websocket-ticket-consumed”商店......）。

https://devcenter.heroku.com/articles/websocket-security

我觉得这一切都在走向 X/Y 问题。 为什么要使用 JWT 进行身份验证？