WebSocket身份验证安全性

Question

我正在尝试将客户端验证到我的安全WebSocket服务器(wss)以获取注册的成员区域.

一旦成员连接到Web服务器,我就会在数据库中记录一个唯一的令牌(与成员关联),该令牌显示在启动与Web Socket服务器连接的页面上的隐藏字段中.

然后将令牌发送到WebSocket服务器,该服务器使用令牌对帐户进行身份验证.

我真的不是安全专家,我希望您对我的身份验证的安全性有所了解.

是否存在任何风险(除了cookie劫持)？考虑到WebSocket没有规定服务器可以在WebSocket握手期间对客户端进行身份验证的任何特定方式,还有更好的方法可以继续.

我使用Ratchet WebSocket.

Answer 1

是的,一种选择是使用cookie(以及TLS以避免cookie劫持):

在"普通的基于HTML格式的"登录之后设置cookie,将cookie传输到WebSocket服务器,并使用cookie来验证WebSocket.

下面是一个完整的例子做的Mozilla的假面与WebSocket的基于身份验证.

你问过Ratchet.这个例子不是Ratchet,但它可能会给你一些线索 - 这就是我认为可以指出的原因.