WebSocket消息级权限校验必须用ChannelInterceptor的preSend方法，因HandshakeInterceptor仅处理连接建立；握手后HTTP上下文丢失，STOMP消息走独立通道，需从StompHeaderAccessor提取token实时验证。
WebSocket消息发送前的权限校验不能靠HandshakeInterceptor，它只管连接建立，不管后续每条消息；必须用ChannelInterceptor（或其子类ChannelInterceptorAdapter）在preSend里做实时校验。
为什么beforeHandshake拦不住消息级越权？
握手完成之后，连接已升级为 WebSocket 协议，HTTP 请求头、Cookie、Token 等原始信息就不可见了。后续所有 STOMP 消息（如 SUBSCRIBE、SEND）走的是独立的消息通道（clientInboundChannel），和 HTTP 生命周期完全解耦。
常见错误现象：
- 用户 A 登录后拿到 token，连上 WebSocket，再伪造用户 B 的
userId发送消息，服务端照收不误 - 拦截器里写了
StpUtil.getLoginId()，但实际返回 null —— 因为StpUtil依赖 HTTP ThreadLocal，而消息线程里没初始化
preSend 中如何安全提取并验证身份？
STOMP 协议会在每条消息的 header 中携带认证上下文，关键字段是 stompHeaderAccessor.getNativeHeader("token") 或 stompHeaderAccessor.getFirstNativeHeader("Authorization")。不要试图从 session 或 request 取，那些在消息线程里早没了。
实操建议：
- 只信任
StompHeaderAccessor解析出的原生 header，且仅限CONNECT和SEND命令做校验（SUBSCRIBE可选） - token 验证必须同步、无状态：调用
JwtTokenUtils.verify(token)或StpUtil.getTokenValue()（需确保 Sa-Token 已开启 Token 绑定线程模式） - 校验失败时抛
RuntimeException（如new AccessDeniedException("no permission")），Spring 会自动断开该 channel - 把解析出的
userId存入message的 header（如accessor.setHeader("userId", userId)），供后续MessageHandler使用
STOMP vs 原生 WebSocket 拦截方式完全不同
如果你用的是 @ServerEndpoint + 原生 javax.websocket API，ChannelInterceptor 完全无效 —— 那种场景下权限必须在 @OnMessage 方法里手动解析消息体、查 token、校验 scope，且无法统一拦截。
WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。
所以：
- 要用消息级权限，必须走 Spring 的 STOMP +
WebSocketMessageBrokerConfigurer路线 - 配置类里必须显式调用
registry.setAllowedOrigins("*")和configurer.setAllowedOrigins("*")，否则跨域时 header 会被浏览器过滤掉 - 前端 StompClient 必须在 connect 时传 token：
stompClient.connect({ token: 'xxx' }, onConnected, onError)，否则preSend拿不到
容易被忽略的线程与上下文泄漏点
最隐蔽的问题是：你在 preSend 里调用了 StpUtil.getLoginId()，它内部依赖 RequestContextHolder，但 STOMP 消息线程默认不绑定 HTTP 上下文。即使你开了 spring.webflux.thread-local=true，对 Spring MVC + WebSocket 场景也不生效。
正确做法只有两个：
- 改用 Sa-Token 的 Token 解析工具类（如
StpUtil.getTokenValue()+StpUtil.parseTokenValue()），它不依赖 RequestContextHolder - 或者在
beforeHandshake里把loginId写进attributes，再在preSend中通过StompHeaderAccessor.getSessionAttributes().get("loginId")拿 —— 但注意，这只能用于 CONNECT 后首次 SEND，后续消息若跨会话则失效
别指望一次鉴权管全程；消息级权限的本质，就是每次 SEND 都得重验一次 token 和权限 scope。
