socket.io：在握手对象中存储敏感数据是否安全？

Question

我想在握手对象中保存一些用户敏感数据。服务器端代码如下所示：

io.configure(function (){
 io.set('authorization', function (handshakeData, callback) {

   var objAuthorized = IsUserAuthorized(handshakeData);

   if (objAuthorized.authorized) {
        handshakeData.password = objAuthorized.password; // Store sensitive data inside handshake
        handshakeData.email = objAuthorized.email; // Store sensitive data inside handshake
        callback(null, true);
     } else {
        callback(null, false);
     }

  });
});

io.sockets.on('connection', function (socket) {
  socket.on('do something', function() {
     if DoSomething(socket.handshake.password, socket.handshake.email) {
        // do something here
     }
  });
});

上面的例子取自https://github.com/LearnBoost/socket.io/wiki/Authorizing。

在握手对象中保存敏感数据是否安全？客户端能否在其套接字连接的生命周期内以某种方式修改这些数据？

谢谢

Answer 1

据了解，这没有任何问题，用户无法从socket.io 中的授权中获得特权.. 但它不被认为是这样做的好方法或好习惯。

大多数开发人员不会这样做，他们在应用程序的其他部分处理身份验证/授权，并在 socket.io 上进行 cookie 和会话验证。这也将消除 socket.io 服务器上的开销。

---

更新

以下示例展示了如何使用会话 express/socket.io

一些有用的链接：

• http://howtonode.org/socket-io-auth
• https://github.com/LearnBoost/socket.io/wiki/Authorizing

请注意，您必须以通用登录表单对用户进行身份验证，将凭据与数据库进行匹配，如果您以前使用过 PHP 和用户身份验证，则不会有问题。匹配用户凭据后，您设置了 sessionID 和任何其他数据，其余的由 express 处理。