HTTP заголовки в клієнтському API Websockets

Схоже, легко додавати власні заголовки HTTP до свого клієнта веб-сокета за допомогою будь-якого клієнта заголовка HTTP, який підтримує це, але я не можу знайти, як це зробити за допомогою JSON API.

Однак, схоже, що ці заголовки повинні бути підтримані в специфікації .

У когось є поняття, як цього досягти?

var ws = new WebSocket("ws://example.com/service");

Зокрема, мені потрібно мати можливість надіслати заголовок авторизації HTTP.

Оновлено 2 рази

Коротка відповідь: Ні, можна вказати лише поле шляху та протоколу.

Більш довга відповідь:

В API WebSockets JavaScript немає методу для визначення додаткових заголовків для клієнта / браузера, що надсилається. Шлях HTTP ("GET / xyz") та заголовок протоколу ("Sec-WebSocket-протокол") можуть бути визначені в конструкторі WebSocket.

Заголовок протоколу Sec-WebSocket-протокол (який іноді розширено для використання в аутентифікації, визначеному для веб-сокета) генерується з необов'язкового другого аргументу до конструктора WebSocket:

var ws = new WebSocket("ws://example.com/path", "protocol");
var ws = new WebSocket("ws://example.com/path", ["protocol1", "protocol2"]);

Вищезазначене призводить до наступних заголовків:

Sec-WebSocket-Protocol: protocol

і

Sec-WebSocket-Protocol: protocol1, protocol2

Поширеною схемою досягнення автентифікації / авторизації WebSocket є впровадження системи продажу квитків, коли сторінка, на якій розміщений клієнт WebSocket, вимагає отримати квиток від сервера, а потім передає цей квиток під час налаштування з'єднання WebSocket або в рядку URL / запит, у полі протоколу, або потрібно як перше повідомлення після встановлення з'єднання. Тоді сервер дозволяє лише продовжити з'єднання, якщо квиток дійсний (існує, він ще не використовувався, IP-адреса клієнта закодована в матчах квитків, часова мітка в квитку недавня тощо). Ось коротка інформація про безпеку WebSocket: https://devcenter.heroku.com/articles/websocket-security

Раніше базова автентифікація була опцією, але ця система застаріла, і сучасні браузери не надсилають заголовок, навіть якщо він вказаний.

Основна інформація про автентифікацію (застаріла) :

Заголовок авторизації генерується з поля імені користувача та пароля (або просто ім'я користувача) URI WebSocket:

var ws = new WebSocket("ws://username:password@example.com")

Вищезазначене призводить до наступного заголовка з кодуваним рядком "ім'я користувача: пароль" base64:

Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

Я перевірив основні auth в Chrome 55 та Firefox 50 і переконався, що основна інформація про автентичність дійсно узгоджена з сервером (це може не працювати в Safari).

Дякую Дмитру Франку за основну авторську відповідь

Більше альтернативного рішення, але всі сучасні браузери надсилають файли cookie домену разом із з'єднанням, використовуючи:

var authToken = 'R3YKZFKBVi';

document.cookie = 'X-Authorization=' + authToken + '; path=/';

var ws = new WebSocket(
    'wss://localhost:9000/wss/'
);

У кінцевому підсумку з заголовками підключення запиту:

Cookie: X-Authorization=R3YKZFKBVi

Проблему заголовка авторизації HTTP можна вирішити за допомогою наступного:

var ws = new WebSocket("ws://username:password@example.com/service");

Тоді буде встановлено належний HTTP-заголовок базового авторизації з наданими usernameта password. Якщо вам потрібна базова авторизація, тоді все налаштовано.

BearerОднак я хочу використовувати , і я вдався до такого фокусу: я підключаюсь до сервера наступним чином:

var ws = new WebSocket("ws://my_token@example.com/service");

І коли мій код на стороні сервера отримує заголовок Basic Authorization з не порожнім ім'ям користувача та порожнім паролем, він інтерпретує ім'я користувача як маркер.

Ви не можете додати заголовки, але, якщо вам просто потрібно передати значення серверу в момент з'єднання, ви можете вказати частину рядка запиту в URL-адресі:

var ws = new WebSocket("ws://example.com/service?key1=value1&key2=value2");

Ця URL-адреса дійсна, але, звичайно, вам потрібно буде змінити код вашого сервера, щоб проаналізувати його.

Не можна надсилати власні заголовки, коли ви хочете встановити з'єднання WebSockets за допомогою API WebSockets JavaScript. Ви можете використовувати Subprotocolsзаголовки, використовуючи конструктор другого класу WebSocket:

var ws = new WebSocket("ws://example.com/service", "soap");

і тоді ви можете отримати заголовки Subprotocols за допомогою Sec-WebSocket-Protocol ключа на сервері.

Існує також обмеження, ваші значення заголовків Subprotocols не можуть містити коми ( ,)!

Надіслати заголовок авторизації неможливо.

Додавання параметра запиту токена - це варіант. Однак, за деяких обставин, може бути небажаним надсилати основний маркер для входу в простому тексті як параметр запиту, оскільки він є більш непрозорим, ніж використання заголовка, і в кінцевому підсумку буде реєструватися хтось кудись. Якщо це викликає занепокоєння щодо безпеки у вас, альтернативою є використання вторинного маркера JWT тільки для матеріалів веб-розетки .

Створіть кінцеву точку REST для генерації цього JWT , до якої, звичайно, можуть звертатися лише користувачі, що мають автентифікацію за допомогою вашого основного маркера входу (передається через заголовок). JWT веб-сокета може бути налаштований інакше, ніж ваш маркер входу, наприклад, з меншим часом очікування, тому безпечніше надсилати навколо нього параметр запиту вашого запиту на оновлення.

Створіть окремий JwtAuthHandler для того ж маршруту, на який ви реєструєте SockJS eventbusHandler . Переконайтеся, що ваш обробник аутентифікації зареєстрований спочатку, щоб ви могли перевірити маркер веб-сокета щодо вашої бази даних (JWT повинен бути якимось чином пов’язаний із вашим користувачем у бекенді).

Повністю зламав це так, завдяки відповіді канаки.

Клієнт:

var ws = new WebSocket(
    'ws://localhost:8080/connect/' + this.state.room.id, 
    store('token') || cookie('token') 
);

Сервер (використовуючи Koa2 у цьому прикладі, але має бути схожим скрізь):

var url = ctx.websocket.upgradeReq.url; // can use to get url/query params
var authToken = ctx.websocket.upgradeReq.headers['sec-websocket-protocol'];
// Can then decode the auth token and do any session/user stuff...

Мій випадок:

• Я хочу підключитися до виробничого WS-сервера www.mycompany.com/api/ws...
• за допомогою реальних облікових даних (сесійного файлу cookie) ...
• з локальної сторінки ( localhost:8000).

Налаштування document.cookie = "sessionid=foobar;path=/"не допоможе, оскільки домени не збігаються.

Рішення :

Додати 127.0.0.1 wsdev.company.comв/etc/hosts .

Таким чином ваш веб-переглядач буде використовувати файли cookie, mycompany.comколи ви підключаєтесь до того, www.mycompany.com/api/wsяк ви підключаєтесь з дійсного піддомену wsdev.company.com.

У моїй ситуації (Інформація про часові серії Azure wss: //)

Використовуючи обгортку ReconnectingWebsocket і вдалося домогтися додавання заголовків за допомогою простого рішення:

socket.onopen = function(e) {
    socket.send(payload);
};

Де корисне навантаження в цьому випадку:

{
  "headers": {
    "Authorization": "Bearer TOKEN",
    "x-ms-client-request-id": "CLIENT_ID"
}, 
"content": {
  "searchSpan": {
    "from": "UTCDATETIME",
    "to": "UTCDATETIME"
  },
"top": {
  "sort": [
    {
      "input": {"builtInProperty": "$ts"},
      "order": "Asc"
    }], 
"count": 1000
}}}

Технічно ви будете надсилати ці заголовки через функцію підключення до фази оновлення протоколу. Це працювало для мене в nodejsпроекті:

var WebSocketClient = require('websocket').client;
var ws = new WebSocketClient();
ws.connect(url, '', headers);

Ви можете передавати заголовки як значення "ключ" у третьому параметрі (опціях) всередині об'єкта. Приклад із маркером авторизації. Залишив протокол (другий параметр) як нульовий

ws = новий WebSocket ('ws: // localhost', null, {заголовки: {Авторизація: маркер}})

Редагувати: Здається, що цей підхід працює лише з бібліотекою nodejs, а не зі стандартною реалізацією браузера. Залишаючи це, тому що воно може бути корисним для деяких людей.