c++ - TCP 套接字是安全的还是我应该始终检查用户

Question

我有一个 C++ 应用程序，它通过 TCP 套接字连接到 nodeJS 服务器。在套接字“握手”上，客户端使用服务器已知的 UUID 对自己进行身份验证，然后服务器将帐户关联到这个已识别的 UUID

打开 TCP 套接字后，应用程序发送请求，服务器通过同一个套接字进行应答。

是否有必要为每个请求添加密码以确保请求来自客户端？或者 socket 是否应该就位并保持在原位？

所以我应该确定客户端是客户端:

• 仅在打开 socket 时？
• 每次提出请求？

Answer 1

服务器已知的 UUID 通常称为 token 。它可以用于您的场景。然而，它永远不应该在未加密的情况下完成。您需要确保以下内容:

• 外部方(不是通信的 2 名成员之一)不应该能够读取 token 。
• 客户端不应该连接到你的服务器以外的任何东西。

这通常是使用 TLS 完成的。 (这就是使 HTTPS 安全的原因。)

我建议您研究一下基于 token 的身份验证/授权和 TLS/SSL。

最后一个建议:不要自己实现加密代码，而是使用经过大量测试且维护良好的使用良好的库。