javascript - 使用环回 token 对 socket.io 进行身份验证

Question

我正在使用 loopback 2.0 和 socket.io 1.0.6。

我想使用环回认证方式来认证socket.io。

我在loopback/lib/middleware/token.js中找到了验证用户的方法。 https://github.com/strongloop/loopback/blob/master/lib/middleware/token.js

然后我这样写:

var loopback = require('loopback');
var ioapp = module.exports = socketio;

function socketio(server) {
  var io = require('socket.io')(server);

  // auth
  io.use(function(socket, next) {
    loopback.token()(socket.request, null, next);
  });

  // listeners
  ...

  return io;
};

但实际上我不会工作并导致这样的错误。

/Users/.../project_root/node_modules/loopback/lib/models/access-token.js:201
    id = req.param(params[i]);
             ^
TypeError: Object #<IncomingMessage> has no method 'param'
    at tokenIdForRequest (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/loopback/lib/models/access-token.js:201:14)
    at Function.AccessToken.findForRequest (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/loopback/lib/models/access-token.js:123:12)
    at /Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/loopback/lib/middleware/token.js:53:16
    at Array.0 (/Users/ksuzuki/Projects/appsocially/repo/chat-center/server/socket.js:15:28)
    at run (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/socket.io/lib/namespace.js:114:11)
    at Namespace.run (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/socket.io/lib/namespace.js:126:3)
    at Namespace.add (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/socket.io/lib/namespace.js:155:8)
    at Client.connect (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/socket.io/lib/client.js:67:20)
    at Server.onconnection (/Users/ksuzuki/Projects/appsocially/repo/chat-center/node_modules/socket.io/lib/index.js:309:10)
    at Server.EventEmitter.emit (events.js:95:17)

我想这是因为我将错误的对象类型传递给了 loopback.token() 方法。

Answer 1

好吧，我相信环回 token 是为与快速请求对象一起使用而构建的。在最新版本 (2.x) 中，如果您覆盖 AccessToken.findForRequest 并自己实现它，您就可以使用它。

但是 the official documentation 中介绍了另一种方法:

基本上它建议使用 socketio-auth (它“提供 Hook 以在 socket.io 中实现身份验证而不使用查询字符串发送凭据，这不是一个好的安全实践”)并直接使用 AccessToken 模型。

我将代码放在这里并做了一些简化:

在服务器端:

app.io = require('socket.io')(app.start());
require('socketio-auth')(app.io, {
  authenticate: function (socket, value, callback) {

      var AccessToken = app.models.AccessToken;
      //get credentials sent by the client
      var token = AccessToken.count({
        userId: value.userId,
        id: value.id,
      }, callback);  
    }
});

在客户端:

socket.on('connect', function() {
    // You should have retrieved tokenId/userId by calling user.login and
    // saving it in cookies or localStorage.
    socket.emit('authentication', {id: tokenId, userId: userId });
});