Spring Session、Websocket、REST 令牌安全答案

【问题标题】：Spring Session, Websocket, REST Token SecuritySpring Session、Websocket、REST 令牌安全
【发布时间】：2015-05-24 06:55:28
【问题描述】：

我们目前有一个 Spring 应用程序，其中包含一个 REST API 和 Websocket 代理端点，以获取数据库更改的实时更新。

我们已经成功迁移到带有嵌入式 redis 服务器的 Spring Session 项目，该服务器通过基本身份验证进行身份验证，并且会话 ID 可以在后续请求中用作 x-auth-token 标头。

我们遇到的问题是保护 Websocket。在 Angular 上，我们有一个围绕 stomp.js / sockjs 库的包装器指令，但我们似乎无法弄清楚如何在 Websocket 升级请求上设置 x-auth-token 标头。

我们做错了吗？处理这种安全方案的推荐方法是什么？

堆栈：

【问题讨论】：

【解决方案1】：

看起来 JS Websocket API 不允许在初始握手和升级请求中设置 HTTP 标头。

正确的方案是在 CONNECT 帧上发送一个身份验证令牌，并在服务器端进行相应的处理。所以现在我们已经迁移到浏览器 cookie 会话，直到我们可以在服务器端找到合适的实现。

【讨论】：