HTTP-Header in der Websockets-Client-API

Es sieht so aus, als ob es einfach ist, Ihrem Websocket-Client mit jedem HTTP-Header-Client, der dies unterstützt, benutzerdefinierte HTTP-Header hinzuzufügen, aber ich kann nicht finden, wie dies mit der JSON-API gemacht wird.

Es scheint jedoch, dass diese Header in der Spezifikation unterstützt werden sollten .

Hat jemand eine Ahnung, wie man es erreicht?

var ws = new WebSocket("ws://example.com/service");

Insbesondere muss ich in der Lage sein, einen HTTP-Autorisierungsheader zu senden.

2x aktualisiert

Kurze Antwort: Nein, nur das Pfad- und Protokollfeld kann angegeben werden.

Längere Antwort:

In der JavaScript- WebSockets-API gibt es keine Methode zum Angeben zusätzlicher Header, die der Client / Browser senden soll. Der HTTP-Pfad ("GET / xyz") und der Protokollheader ("Sec-WebSocket-Protocol") können im WebSocket-Konstruktor angegeben werden.

Der Sec-WebSocket-Protocol-Header (der manchmal erweitert wird, um für die Websocket-spezifische Authentifizierung verwendet zu werden) wird aus dem optionalen zweiten Argument für den WebSocket-Konstruktor generiert:

var ws = new WebSocket("ws://example.com/path", "protocol");
var ws = new WebSocket("ws://example.com/path", ["protocol1", "protocol2"]);

Das Obige führt zu folgenden Überschriften:

Sec-WebSocket-Protocol: protocol

und

Sec-WebSocket-Protocol: protocol1, protocol2

Ein gängiges Muster zum Erreichen der WebSocket-Authentifizierung / -Autorisierung besteht darin, ein Ticketing-System zu implementieren, bei dem die Seite, auf der sich der WebSocket-Client befindet, ein Ticket vom Server anfordert und dieses Ticket dann während des Aufbaus der WebSocket-Verbindung entweder in der URL / Abfragezeichenfolge im Protokollfeld weiterleitet. oder als erste Nachricht nach dem Herstellen der Verbindung erforderlich. Der Server lässt dann nur dann zu, dass die Verbindung fortgesetzt wird, wenn das Ticket gültig ist (vorhanden, noch nicht verwendet, Client-IP in Ticket-Übereinstimmungen codiert, Zeitstempel im Ticket ist aktuell usw.). Hier ist eine Zusammenfassung der WebSocket-Sicherheitsinformationen: https://devcenter.heroku.com/articles/websocket-security

Früher war die Standardauthentifizierung eine Option, diese ist jedoch veraltet, und moderne Browser senden den Header nicht, selbst wenn er angegeben ist.

Grundlegende Auth-Informationen (veraltet) :

Der Autorisierungsheader wird aus dem Feld Benutzername und Kennwort (oder nur Benutzername) des WebSocket-URI generiert:

var ws = new WebSocket("ws://username:[email protected]")

Das Obige führt zu folgendem Header mit der Zeichenfolge "Benutzername: Passwort" base64-codiert:

Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

Ich habe die Basisauthentifizierung in Chrome 55 und Firefox 50 getestet und überprüft, dass die Basisauthentifizierungsinformationen tatsächlich mit dem Server ausgehandelt werden (dies funktioniert möglicherweise nicht in Safari).

Vielen Dank an Dmitry Frank für die grundlegende Antwort

Eher eine alternative Lösung, aber alle modernen Browser senden die Domain-Cookies zusammen mit der Verbindung. Verwenden Sie dazu:

var authToken = 'R3YKZFKBVi';

document.cookie = 'X-Authorization=' + authToken + '; path=/';

var ws = new WebSocket(
    'wss://localhost:9000/wss/'
);

Am Ende die Anforderungsverbindungsheader:

Cookie: X-Authorization=R3YKZFKBVi

Das Problem mit dem HTTP-Autorisierungsheader kann wie folgt behoben werden:

var ws = new WebSocket("ws://username:[email protected]/service");

Anschließend wird ein geeigneter HTTP-Header für die Basisautorisierung mit dem bereitgestellten usernameund festgelegt password. Wenn Sie eine Basisautorisierung benötigen, sind Sie fertig.

Ich möchte Bearerjedoch verwenden und habe auf den folgenden Trick zurückgegriffen: Ich verbinde mich wie folgt mit dem Server:

var ws = new WebSocket("ws://[email protected]/service");

Und wenn mein Code auf der Serverseite den Header "Basic Authorization" mit einem nicht leeren Benutzernamen und einem leeren Kennwort erhält, interpretiert er den Benutzernamen als Token.

Sie können keine Header hinzufügen. Wenn Sie jedoch zum Zeitpunkt der Verbindung nur Werte an den Server übergeben müssen, können Sie einen Teil der Abfragezeichenfolge in der URL angeben:

var ws = new WebSocket("ws://example.com/service?key1=value1&key2=value2");

Diese URL ist gültig, aber Sie müssen natürlich Ihren Servercode ändern, um ihn zu analysieren.

Sie können keinen benutzerdefinierten Header senden, wenn Sie eine WebSockets-Verbindung mithilfe der JavaScript-WebSockets-API herstellen möchten. Sie können SubprotocolsHeader verwenden, indem Sie den zweiten WebSocket-Klassenkonstruktor verwenden:

var ws = new WebSocket("ws://example.com/service", "soap");

Anschließend können Sie die Subprotokoll-Header mithilfe des Sec-WebSocket-ProtocolSchlüssels auf dem Server abrufen .

Es gibt auch eine Einschränkung: Ihre Header-Werte für Unterprotokolle dürfen kein Komma ( ,) enthalten!

Das Senden eines Autorisierungsheaders ist nicht möglich.

Das Anhängen eines Token-Abfrageparameters ist eine Option. Unter bestimmten Umständen kann es jedoch unerwünscht sein, Ihr Hauptanmeldetoken im Klartext als Abfrageparameter zu senden, da es undurchsichtiger als die Verwendung eines Headers ist und überall protokolliert wird. Wenn dies Sicherheitsbedenken für Sie aufwirft, besteht eine Alternative darin, ein sekundäres JWT-Token nur für das Web-Socket-Material zu verwenden .

Erstellen Sie einen REST-Endpunkt zum Generieren dieser JWT , auf den natürlich nur Benutzer zugreifen können, die mit Ihrem primären Anmeldetoken authentifiziert sind (über Header übertragen). Das Web-Socket-JWT kann anders konfiguriert werden als Ihr Anmeldetoken, z. B. mit einem kürzeren Zeitlimit. Daher ist es sicherer, es als Abfrageparameter Ihrer Upgrade-Anfrage zu senden.

Erstellen Sie einen separaten JwtAuthHandler für dieselbe Route, auf der Sie den SockJS eventbusHandler registrieren . Stellen Sie sicher, dass Ihr Auth-Handler zuerst registriert ist, damit Sie das Web-Socket-Token mit Ihrer Datenbank vergleichen können (das JWT sollte irgendwie mit Ihrem Benutzer im Backend verknüpft sein).

Dank Kanakas Antwort wurde es total so gehackt.

Klient:

var ws = new WebSocket(
    'ws://localhost:8080/connect/' + this.state.room.id, 
    store('token') || cookie('token') 
);

Server (in diesem Beispiel mit Koa2, sollte aber überall ähnlich sein):

var url = ctx.websocket.upgradeReq.url; // can use to get url/query params
var authToken = ctx.websocket.upgradeReq.headers['sec-websocket-protocol'];
// Can then decode the auth token and do any session/user stuff...

Mein Fall:

• Ich möchte eine Verbindung zu einem Produktions-WS-Server herstellen. A. www.mycompany.com/api/ws .
• mit echten Anmeldeinformationen (ein Sitzungscookie) ...
• von einer lokalen Seite ( localhost:8000).

Die Einstellung document.cookie = "sessionid=foobar;path=/"hilft nicht, da die Domänen nicht übereinstimmen.

Die Lösung :

Hinzufügen 127.0.0.1 wsdev.company.comzu /etc/hosts.

Auf diese Weise verwendet Ihr Browser Cookies, mycompany.comwenn www.mycompany.com/api/wsSie eine Verbindung zu einer gültigen Subdomain herstellen wsdev.company.com.

In meiner Situation (Azure Time Series Insights wss: //)

Mit dem ReconnectingWebsocket-Wrapper konnten mit einer einfachen Lösung Header hinzugefügt werden:

socket.onopen = function(e) {
    socket.send(payload);
};

Wo Nutzlast in diesem Fall ist:

{
  "headers": {
    "Authorization": "Bearer TOKEN",
    "x-ms-client-request-id": "CLIENT_ID"
}, 
"content": {
  "searchSpan": {
    "from": "UTCDATETIME",
    "to": "UTCDATETIME"
  },
"top": {
  "sort": [
    {
      "input": {"builtInProperty": "$ts"},
      "order": "Asc"
    }], 
"count": 1000
}}}

Technisch gesehen senden Sie diese Header vor der Protokollaktualisierungsphase über die Verbindungsfunktion. Das hat bei mir in einem nodejsProjekt funktioniert :

var WebSocketClient = require('websocket').client;
var ws = new WebSocketClient();
ws.connect(url, '', headers);

Sie können die Header als Schlüsselwert im dritten Parameter (Optionen) innerhalb eines Objekts übergeben. Beispiel mit Autorisierungstoken. Belassen Sie das Protokoll (zweiter Parameter) als null

ws = new WebSocket ('ws: // localhost', null, {headers: {Authorization: token}})

Bearbeiten: Scheint, dass dieser Ansatz nur mit der NodeJS-Bibliothek funktioniert, nicht mit der Standard-Browser-Implementierung. Verlassen Sie es, weil es für manche Menschen nützlich sein könnte.