node.js - Socket.IO 客户端安全

Question

我是 Node.js 和 Socket.IO 的新手。根据documentation客户端代码类似于:

<script src="/socket.io/socket.io.js"></script>
<script>
  var socket = io('http://localhost:3000');
  socket.on('news', function (data) {
    console.log(data);
    socket.emit('my other event', { my: 'data' });
  });
</script>

它简单易行，但尽管它非常适合本地测试，但我不确定在实时页面上是否真的安全，因为它为服务器提供直接的 URL 和事件信息。

我应该将实时页面的客户端更改为其他内容(或以某种方式隐藏它吗？)，还是保持原样就好？

Answer 1

是的，确实很危险而且不安全!

但是，您可以采取一些措施来增强 Socket.io 的安全性

1. 使用 HTTPS 连接，这将防止任何人窃听您的套接字连接
2. 在与客户端建立套接字连接之前始终验证您的用户

下面的链接是一个很好的示例，说明如何使用 JSON Web Token 来验证 Socket.io 连接

https://auth0.com/blog/2014/01/15/auth-with-socket-io/

如果您使用基于 session 的身份验证，则可以实现类似的架构

你也可以进行混淆，你可以使用这些缩小来使你的代码变得丑陋并且攻击者很难追踪它，但是如果你在建立连接之前实现了身份验证，那么暴露你的url应该足够安全!