socket.io 安全性 - 可能只允许来自特定域？答案

【问题标题】：socket.io security - maybe allow only from specific domain?socket.io 安全性 - 可能只允许来自特定域？
【发布时间】：2011-04-20 11:42:32
【问题描述】：

我构建了一个 websocket (node.js + socket.io) 服务，它将聚合客户端上的数据（分辨率、点击等）并发送给我的管理员（通过 websockets）。但是，我对安全性有些担忧。在客户端我的 websocket 服务器地址是这样暴露的：

var socket = new io.Socket('127.0.0.1', {'port': 3000});

所以任何人都可以使用该地址并点击一百万个请求（这将导致我的服务器停机）。

如何保护我的套接字服务器？也许只允许来自我的域的套接字连接（如何）？

【问题讨论】：

【解决方案1】：

如何保护我的套接字服务器？

您可以限制同时连接的客户端数量。例如，如果有 5000 个通过 WebSockets 主动连接的客户端，那么新的客户端将被拒绝，直到它们有一些“空闲槽”。

也许只允许来自我的域的套接字连接（如何）？

客户端（浏览器）连接没有您的域作为“来源”。

【讨论】：