security - Websocket 安全

Question

我正在寻找使用 WebSockets 与我们的服务器通信来实现 web (angular) 和 iPhone 应用程序。在过去使用 HTTP 请求时，我们使用请求数据、url、时间戳等的哈希值来验证和保护请求。

据我所知，我们无法发送带有 WebSockets 请求的 header ，因此我想知道如何保护每个请求。

有没有人有任何想法或好的做法？

Answer 1

为了保护您的消息，请使用基于 SSL/TLS 的 WebSockets(wss://而不是 ws://)。不要推出自己的加密货币。

关于认证。 HTTP 和 WebSockets 的最大区别在于 HTTP 是无状态协议(protocol)，而 WebSockets 不是。

使用 HTTP，您必须随每个请求发送 header (cookie、 token 等)。使用 WebSockets，您可以建立连接。在第一次交互中，您可以对客户端进行身份验证，并且对于连接的其余部分，您知道客户端已通过身份验证。

Heroku 的人员描述了一种模式，其中客户端使用 HTTP 进行身份验证，获取票证，然后将该票证作为第一条消息通过 WebSocket 连接发送。见 https://devcenter.heroku.com/articles/websocket-security