- mongodb - 在 MongoDB mapreduce 中,如何展平值对象?
- javascript - 对象传播与 Object.assign
- html - 输入类型 ="submit"Vs 按钮标签它们可以互换吗?
- sql - 使用 MongoDB 而不是 MS SQL Server 的优缺点
我有一个工作的 php 应用程序,我想在其中添加实时支持。我想使用 nodejs/socket.io 来添加这种功能。
我发现的第一个问题是如何在 nodejs 端正确授权用户(用户已经通过 PHP session 在 php 后端进行了身份验证)。在 nodejs 端使用 socket.handshake.header.cookie 我可以解析并获取 PHP session ID,我可以通过 redis/memcache/database 进行身份验证(取决于我用来保存 session 信息的内容)。
当用户只打开网站的一个选项卡/窗口时,一切看起来都很酷 - 当拥有更多并使用 session_regenerate_id() 时,在 nodejs 中,用户使用另一个 sessionid key 进行身份验证,所以我无法区分除了它们连接的套接字 id 之外的任何其他选项卡。当用户注销时,他不应该在任何选项卡上收到任何消息(因为他已经从该浏览器的每个选项卡/窗口上注销)。所以在注销消息(在注销 PHP 之前从浏览器发送)我应该删除所有连接到授权用户 ID 的套接字连接。但是如果用户在两个设备上登录(fe. pc 浏览器和 ipad safaris)会怎样。在一台设备上注销后,他不应该在他注销的设备上收到任何消息,而不是在每台设备上。 如何在 socket.io 中区分来自不同设备/浏览器的连接? 当然不使用 session_regenerate_id() 在这里会很有效,但是如果我真的想要我该怎么办使用此功能?
我遇到的另一个问题是安全问题(甚至是问题)。假设应用程序中的授权用户可以看到页面 example.com/user1(这是 user1 的新闻提要)并且看不到 example.com/user2(fe. he无权查看)。当用户在 example.com/user1 上时,我希望 socket.io 向浏览器发送更新消息,当然当用户在 example.com/user2 上时不发送更新消息强>网站。在 socket.io 方面,我可以读取引用地址(因此推测,当用户在 user2 站点上时,他没有得到任何 socket.io 连接)。问题是:我应该将引用地址与node.js 端经过身份验证的用户的权限进行比较吗?或者,在 node.js 端,referer 值是 safe 的? 在 node.js 端添加另一个数据库检查会减慢速度(因为几乎每个请求都应该有相同的数据库检查两个方面 - PHP 和 node.js)。
或者也许我提出的 socket.io + PHP 应用程序的整个概念是错误的?
更新
我想我找到了一种方法来省略第一个问题的问题——基本上我只是添加了另一个 cookie(除了 PHPSESSID)fe。命名为 NODESESSID,我在授权用户时生成(fe. 使用 uniqid())。现在 node.js 端的授权正在比较 PHPSESSID 和 NODESESSID(两者必须匹配)。现在,当用户注销时,他会将消息 logout 传递给 socket.io,并且 socket.io 会断开所有带有 NODESESSID 的套接字。这就像连接重新生成 session ID 和不重新生成 session ID 的好处(但不容易受到 session 固定的影响,不是吗?)。
最佳答案
第二个问题:
如评论中所述,Referer 不安全。
我的应用程序中遇到了类似的问题,这就是我的工作原理。
首先,我有一个单页应用程序,所有流量都通过套接字,但这不是必需的。它也应该以您管理它的方式与 session 一起使用。
在 nodejs onConnect 中,我询问后端用户是否已通过身份验证,然后将用户 ID 存储到套接字对象 (socket.data) 中,并填充 HashMap 以直接从用户 ID 查找套接字。
其次,我使用 Redis 并从 nodejs ( see redis pub/sub ) 订阅了一个 redis 列表。 php 后端使用用户 ID 推送此列表中的消息以寻址消息。 nodejs 获取此消息(例如,一个新的新闻提要项),在提到的 hashmap 中查找用户 ID 并将其发送给客户端。所以,用户只能得到他被授权的东西。然后客户端决定如何处理该消息。如果用户在他的提要页面上,它可以添加该项目。如果用户在其他人的提要上,它可以简单地在页面的其他位置添加通知。它也可能会丢弃它。
在 php 后端站点上,每次发生需要在某些连接的客户端上实时显示的事件时,此消息都会发送到 redis。如果 user1 在 user2 的 feed 上发帖,则新项目存储在数据库中,同时作为消息发送到 redis 队列。
该系统还有助于减少数据库负载,因为 nodejs 只需要查询数据库以确保连接的用户已通过身份验证。
关于PHP + socket.io( session 、授权和安全问题),我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/12192957/
IO 设备如何知道属于它的内存中的值在memory mapped IO 中发生了变化? ? 例如,假设内存地址 0 专用于保存 VGA 设备的背景颜色。当我们更改 memory[0] 中的值时,VGA
我目前正在开发一个使用Facebook sdk登录(通过FBLoginView)的iOS应用。 一切正常,除了那些拥有较旧版本的facebook的人。 当他们按下“使用Facebook登录”按钮时,他
假设我有: this - is an - example - with some - dashesNSRange将使用`rangeOfString:@“-”拾取“-”的第一个实例,但是如果我只想要最后
Card.io SDK提供以下详细信息: 卡号,有效期,月份,年份,CVV和邮政编码。 如何从此SDK获取国家名称。 - (void)userDidProvideCreditCardInfo:(Car
iOS 应用程序如何从网络服务下载图片并在安装过程中将它们安装到用户的 iOS 设备上?可能吗? 最佳答案 您无法控制应用在用户设备上的安装,因此无法在安装过程中下载其他数据。 只需在安装后首次启动应
我曾经开发过一款企业版 iOS 产品,我们公司曾将其出售给大型企业,供他们的员工使用。 该应用程序通过 AppStore 提供,企业用户获得了公司特定的配置文件(包含应用程序配置文件)以启用他们有权使
我正在尝试将 Card.io SDK 集成到我的 iOS 应用程序中。我想为 CardIO ui 做一个简单的本地化,如更改取消按钮标题或“在此保留信用卡”提示文本。 我在 github 上找到了这个
我正在使用 CardIOView 和 CardIOViewDelegate 类,没有可以设置为 YES 的 BOOL 来扫描 collectCardholderName。我可以看到它在 CardIOP
我有一个集成了通话工具包的 voip 应用程序。每次我从我的 voip 应用程序调用时,都会在 native 电话应用程序中创建一个新的最近通话记录。我在 voip 应用程序中也有自定义联系人(电话应
iOS 应用程序如何知道应用程序打开时屏幕上是否已经有键盘?应用程序运行后,它可以接收键盘显示/隐藏通知。但是,如果应用程序在分屏模式下作为辅助应用程序打开,而主应用程序已经显示键盘,则辅助应用程序不
我在模拟器中收到以下错误: ImageIO: CGImageReadSessionGetCachedImageBlockData *** CGImageReadSessionGetCachedIm
如 Apple 文档所示,可以通过 EAAccessory Framework 与经过认证的配件(由 Apple 认证)进行通信。但是我有点困惑,因为一些帖子告诉我它也可以通过 CoreBluetoo
尽管现在的调试器已经很不错了,但有时找出应用程序中正在发生的事情的最好方法仍然是古老的 NSLog。当您连接到计算机时,这样做很容易; Xcode 会帮助弹出日志查看器面板,然后就可以了。当您不在办公
在我的 iOS 应用程序中,我定义了一些兴趣点。其中一些有一个 Kontakt.io 信标的名称,它绑定(bind)到一个特定的 PoI(我的意思是通常贴在信标标签上的名称)。现在我想在附近发现信标,
我正在为警报提示创建一个 trigger.io 插件。尝试从警报提示返回数据。这是我的代码: // Prompt + (void)show_prompt:(ForgeTask*)task{
您好,我是 Apple iOS 的新手。我阅读并搜索了很多关于推送通知的文章,但我没有发现任何关于 APNS 从 io4 到 ios 6 的新更新的信息。任何人都可以向我提供 APNS 如何在 ios
UITabBar 的高度似乎在 iOS 7 和 8/9/10/11 之间发生了变化。我发布这个问题是为了让其他人轻松找到答案。 那么:在 iPhone 和 iPad 上的 iOS 8/9/10/11
我想我可以针对不同的 iOS 版本使用不同的 Storyboard。 由于 UI 的差异,我将创建下一个 Storyboard: Main_iPhone.storyboard Main_iPad.st
我正在写一些东西,我将使用设备的 iTunes 库中的一部分音轨来覆盖 2 个视频的组合,例如: AVMutableComposition* mixComposition = [[AVMutableC
我创建了一个简单的 iOS 程序,可以顺利编译并在 iPad 模拟器上运行良好。当我告诉 XCode 4 使用我连接的 iPad 设备时,无法编译相同的程序。问题似乎是当我尝试使用附加的 iPad 时
我是一名优秀的程序员,十分优秀!