【发布时间】：2014-06-24 04:09:46
【问题描述】：
我正在开发一个使用信号器的聊天应用程序。我通过他们的 connectionid 关联每个用户。
我只是想知道如果我广播所有用户的连接 ID，以便任何人都可以在代码中看到它们，是否有人能够造成任何问题？
【问题讨论】：
【发布时间】：2014-06-24 04:09:46
【问题描述】：
据我所知，共享连接 ID 不是安全风险，但共享 连接令牌 就是其中之一。
根据我自己对 SignalR 的测试，它不会检查消息的来源，而只会检查连接令牌，如果会话经过身份验证（如果我没记错的话），它是连接 ID 加上用户名（如果我没记错的话）的加密形式这也是为什么您需要在身份验证后重新连接）。
仅通过替换连接令牌，我就能够成功地欺骗来自另一个 IP 上的另一台计算机的 SignalR 连接，版本为 2.0.2。
【讨论】：
-
你确定吗？根据this page 的说法：您永远不应该将一个客户端的连接 ID 传递给其他客户端，因为恶意用户可以使用它来模仿来自该客户端的请求。