订阅频道时如何检查websocket用户是否经过身份验证？

Question

我有 websocket 配置类：

    @Override
    public void configureMessageBroker(MessageBrokerRegistry config) {
            config.enableSimpleBroker("/topics");
            config.setApplicationDestinationPrefixes("/app");        
    }

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        registry.addEndpoint("/notifications").setAllowedOrigins("*").withSockJS();
    }

还有ClientInboundChannel:

@Override
public void configureClientInboundChannel(ChannelRegistration registration) {
    registration.setInterceptors(new ChannelInterceptorAdapter() {

        @Override
        public Message<?> preSend(Message<?> message, MessageChannel channel) {

            StompHeaderAccessor accessor = MessageHeaderAccessor.getAccessor(message, StompHeaderAccessor.class);

            final String xAuthToken = accessor.getFirstNativeHeader(ManipulatesHeaders.X_AUTH_TOKEN_HEADER);

            if (xAuthToken == null) {
                return message;
            }

            final UserDetails userDetails = authService.getUserDetails(xAuthToken);

            if (StompCommand.CONNECT == accessor.getCommand()) {
                final WebSocketPrincipal principal = (...)

                userRegistry.registerUser(principal, message);
                accessor.setUser(principal);
            }

            return message;
        }
    }
}

现在，我想向订阅特定频道的每个用户发送欢迎消息。很明显，可以通过创建一个实现ApplicationListener<SessionSubscribeEvent>并提供的类来实现

@Override
    public void onApplicationEvent(final SessionSubscribeEventevent) {
      StompHeaderAccessor sha = StompHeaderAccessor.wrap(event.getMessage());
}

第二种方法是在前面提到的ClientInboundChannel中执行类似的事情（相同）。

问题是，当用户发送单脚SUBSCRIBE 时，message 中没有 simpUser 标头。

流程如下：用户发送stompCONNECT，执行此行：accessor.setUser(principal)，此时message已正确设置simpUser标头。但是当在preSend 中接收到stomp SUBSCRIBE 消息时，StompHeaderAccessor 没有simpUser 标头。因此，我无法评估用户是否已经过身份验证。

那么我如何检查发送SUBSCRIBE 消息的用户是否已经通过身份验证？ （以及为什么经过身份验证的用户不发送simpUser 标头）

Answer 1

在您的 websocket 配置类中，将您的扩展更改为 AbstractSecurityWebSocketMessageBrokerConfigurer

那么您可以按如下方式设置您的安全性：

@Override
protected void configureInbound(MessageSecurityMetadataSourceRegistry message) {
    message
      .nullDestMatcher().permitAll()
      .simpDestMatchers("/app/**").authenticated()
      .simpSubscribeDestMatchers("/topics/**").authenticated()
      .anyMessage().denyAll();
}

如果您收到错误 Could not verify the provided CSRF token because your session was not found，则必须在 websocket 配置类中覆盖 `sameOriginDisabled

  @Override
  protected boolean sameOriginDisabled() {
      return true;
  }

有关 websocket 安全性的更多信息：

https://docs.spring.io/spring-security/site/docs/current/reference/html/websocket.html