Nagłówki HTTP w interfejsie API klienta Websockets

Wygląda na to, że łatwo jest dodać niestandardowe nagłówki HTTP do klienta Websocket za pomocą dowolnego klienta nagłówka HTTP, który to obsługuje, ale nie mogę znaleźć sposobu, aby to zrobić za pomocą interfejsu API JSON.

Wydaje się jednak, że powinny być obsługiwane te nagłówki w specyfikacji .

Czy ktoś ma jakiś pomysł, jak to osiągnąć?

var ws = new WebSocket("ws://example.com/service");

W szczególności muszę mieć możliwość wysłania nagłówka autoryzacji HTTP.

Zaktualizowano 2x

Krótka odpowiedź: Nie, można podać tylko pole ścieżki i protokołu.

Dłuższa odpowiedź:

W interfejsie API JavaScript WebSockets nie ma metody określania dodatkowych nagłówków do wysłania przez klienta / przeglądarkę. Ścieżka HTTP („GET / xyz”) i nagłówek protokołu („Sec-WebSocket-Protocol”) można określić w konstruktorze WebSocket.

Nagłówek Sec-WebSocket-Protocol (który czasem jest rozszerzony do użycia w uwierzytelnianiu specyficznym dla websocket) jest generowany z opcjonalnego drugiego argumentu do konstruktora WebSocket:

var ws = new WebSocket("ws://example.com/path", "protocol");
var ws = new WebSocket("ws://example.com/path", ["protocol1", "protocol2"]);

Powyższe skutkuje następującymi nagłówkami:

Sec-WebSocket-Protocol: protocol

i

Sec-WebSocket-Protocol: protocol1, protocol2

Częstym wzorcem uzyskiwania uwierzytelnienia / autoryzacji WebSocket jest wdrożenie systemu biletowego, w którym strona hostująca klienta WebSocket żąda biletu od serwera, a następnie przekazuje ten bilet podczas konfiguracji połączenia WebSocket albo w ciągu adresu URL / zapytania, w polu protokołu, lub wymagany jako pierwszy komunikat po nawiązaniu połączenia. Serwer pozwala wtedy na kontynuowanie połączenia tylko wtedy, gdy bilet jest ważny (istnieje, nie był już używany, adres IP klienta zakodowany w dopasowaniu biletu, znacznik czasu w bilecie jest aktualny itp.). Oto podsumowanie informacji o bezpieczeństwie WebSocket: https://devcenter.heroku.com/articles/websocket-security

Podstawowe uwierzytelnianie było wcześniej opcją, ale było przestarzałe, a nowoczesne przeglądarki nie wysyłają nagłówka, nawet jeśli jest określony.

Podstawowe informacje uwierzytelniające (wycofane) :

Nagłówek autoryzacji jest generowany z pola nazwy użytkownika i hasła (lub tylko nazwy użytkownika) identyfikatora URI WebSocket:

var ws = new WebSocket("ws://username:password@example.com")

Powyższe powoduje powstanie następującego nagłówka z ciągiem „nazwa użytkownika: hasło” zakodowanym base64:

Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

Przetestowałem podstawowe uwierzytelnianie w Chrome 55 i Firefox 50 i zweryfikowałem, że podstawowe informacje o uwierzytelnianiu są rzeczywiście negocjowane z serwerem (może to nie działać w przeglądarce Safari).

Podziękowania dla Dmitry'ego Franka za podstawową odpowiedź na autoryzację

Więcej alternatywnego rozwiązania, ale wszystkie nowoczesne przeglądarki wysyłają pliki cookie domeny wraz z połączeniem, więc używając:

var authToken = 'R3YKZFKBVi';

document.cookie = 'X-Authorization=' + authToken + '; path=/';

var ws = new WebSocket(
    'wss://localhost:9000/wss/'
);

Zakończ z nagłówkami połączenia żądania:

Cookie: X-Authorization=R3YKZFKBVi

Problem nagłówka autoryzacji HTTP można rozwiązać w następujący sposób:

var ws = new WebSocket("ws://username:password@example.com/service");

Następnie odpowiedni nagłówek HTTP autoryzacji podstawowej zostanie ustawiony z podanym usernamei password. Jeśli potrzebujesz podstawowej autoryzacji, wszystko jest gotowe.

Chcę Bearerjednak użyć i skorzystałem z następującej sztuczki: Łączę się z serwerem w następujący sposób:

var ws = new WebSocket("ws://my_token@example.com/service");

A kiedy mój kod po stronie serwera otrzymuje nagłówek Podstawowej autoryzacji z niepustą nazwą użytkownika i pustym hasłem, wówczas interpretuje nazwę użytkownika jako token.

Nie możesz dodawać nagłówków, ale jeśli musisz tylko przekazać wartości do serwera w momencie połączenia, możesz określić część ciągu zapytania w adresie URL:

var ws = new WebSocket("ws://example.com/service?key1=value1&key2=value2");

Ten adres URL jest prawidłowy, ale - oczywiście - musisz zmodyfikować kod serwera, aby go przeanalizować.

Nie możesz wysłać niestandardowego nagłówka, gdy chcesz nawiązać połączenie WebSockets za pomocą JavaScript WebSockets API. Możesz używać Subprotocolsnagłówków, używając drugiego konstruktora klasy WebSocket:

var ws = new WebSocket("ws://example.com/service", "soap");

a następnie możesz pobrać nagłówki Subprotocols za pomocą Sec-WebSocket-Protocolklucza na serwerze.

Istnieje również ograniczenie, wartości nagłówków Subprotocols nie mogą zawierać przecinka ( ,)!

Wysłanie nagłówka autoryzacji nie jest możliwe.

Dołączenie parametru zapytania do tokena jest opcją. Jednak w niektórych okolicznościach wysyłanie głównego tokena logowania w postaci zwykłego tekstu jako parametru zapytania może być niepożądane, ponieważ jest bardziej nieprzejrzysty niż używanie nagłówka i kończy się logowaniem gdziekolwiek. Jeśli rodzi to obawy związane z bezpieczeństwem, alternatywą jest użycie dodatkowego tokena JWT tylko dla gniazd sieciowych .

Utwórz punkt końcowy REST do generowania tego JWT , do którego oczywiście mogą uzyskać dostęp tylko użytkownicy uwierzytelnieni za pomocą głównego tokena logowania (przesyłanego przez nagłówek). Gniazdo sieciowe JWT można skonfigurować inaczej niż token logowania, np. Z krótszym czasem oczekiwania, więc bezpieczniej jest wysłać jako parametr zapytania żądania aktualizacji.

Utwórz osobny JwtAuthHandler dla tej samej trasy, na której zarejestrujesz SockJS eventbusHandler . Upewnij się, że twój moduł obsługi autoryzacji jest najpierw zarejestrowany, abyś mógł sprawdzić token gniazda sieciowego w swojej bazie danych (JWT powinien być w jakiś sposób powiązany z użytkownikiem w backendu).

Całkowicie zhakowałem to w ten sposób, dzięki odpowiedzi Kanaka.

Klient:

var ws = new WebSocket(
    'ws://localhost:8080/connect/' + this.state.room.id, 
    store('token') || cookie('token') 
);

Serwer (w tym przykładzie używa Koa2, ale powinien być podobny wszędzie):

var url = ctx.websocket.upgradeReq.url; // can use to get url/query params
var authToken = ctx.websocket.upgradeReq.headers['sec-websocket-protocol'];
// Can then decode the auth token and do any session/user stuff...

Mój przypadek:

• Chcę połączyć się z produkcyjnym serwerem WS www.mycompany.com/api/ws...
• przy użyciu prawdziwych danych uwierzytelniających (ciasteczka sesji) ...
• ze strony lokalnej ( localhost:8000).

Ustawienie document.cookie = "sessionid=foobar;path=/"nie pomoże, ponieważ domeny się nie zgadzają.

Rozwiązanie :

Dodaj 127.0.0.1 wsdev.company.comdo /etc/hosts.

W ten sposób Twoja przeglądarka będzie używać plików cookie mycompany.compodczas nawiązywania www.mycompany.com/api/wspołączenia z prawidłową subdomeną wsdev.company.com.

W mojej sytuacji (Azure Time Series Insights wss: //)

Za pomocą opakowania ReconnectingWebsocket udało się uzyskać dodanie nagłówków za pomocą prostego rozwiązania:

socket.onopen = function(e) {
    socket.send(payload);
};

Gdzie ładowność w tym przypadku to:

{
  "headers": {
    "Authorization": "Bearer TOKEN",
    "x-ms-client-request-id": "CLIENT_ID"
}, 
"content": {
  "searchSpan": {
    "from": "UTCDATETIME",
    "to": "UTCDATETIME"
  },
"top": {
  "sort": [
    {
      "input": {"builtInProperty": "$ts"},
      "order": "Asc"
    }], 
"count": 1000
}}}

Technicznie rzecz biorąc, będziesz wysyłać te nagłówki przez funkcję łączenia przed fazą aktualizacji protokołu. To zadziałało dla mnie w nodejsprojekcie:

var WebSocketClient = require('websocket').client;
var ws = new WebSocketClient();
ws.connect(url, '', headers);

Możesz przekazać nagłówki jako klucz-wartość w trzecim parametrze (opcjach) wewnątrz obiektu. Przykład z tokenem autoryzacji. Pozostaw protokół (drugi parametr) na wartość NULL

ws = new WebSocket ('ws: // localhost', null, {headers: {Authorization: token}})

Edycja: Wydaje się, że to podejście działa tylko z biblioteką nodejs, a nie ze standardową implementacją przeglądarki. Pozostawienie go, ponieważ może być przydatne dla niektórych osób.