WebSocket中如何实现用户身份验证教程连接建立前校验Token方法-js教程-PHP中文网

WebSocket连接前必须在握手阶段通过URL查询参数传递Token，服务端需在upgrade事件中同步校验并拒绝非法请求，不可延至connection事件处理。

WebSocket连接前如何传递Token

websocket协议本身不支持在握手阶段像http那样携带完整的认证头（如 authorization），但浏览器发起连接时允许在 url 中附带查询参数。这是最常用、兼容性最好的token传递方式。

服务端需在升级请求的 req.url（Node.js）或 request.query（如 FastAPI）中解析该Token，而不是依赖 req.headers.authorization —— 浏览器不会自动把JWT塞进WebSocket握手的headers里。

前端连接写法：new WebSocket("wss://api.example.com/ws?token=eyJhbGciOi...")
Token应放在查询参数而非路径段（避免被CDN或日志系统误截）
注意URL编码：若Token含 + 或 /，需用 encodeURIComponent(token) 包裹
不推荐用 cookie 自动携带：跨域场景下默认不发送，且无法控制是否包含

服务端如何校验Token并拒绝非法连接

关键不是“等连接建立后再鉴权”，而是**在 upgrade 事件中同步校验，并决定是否调用 socket.accept()（或等价方法）**。一旦响应了101状态码，连接即成立，此时再拒绝已无意义。

以 Node.js + ws 库为例：

server.on('upgrade', async (req, socket, head) => {
  const url = new URL(req.url, 'http://localhost');
  const token = url.searchParams.get('token');
  
  if (!token) {
    socket.write('HTTP/1.1 401 Unauthorized\r\n\r\n');
    socket.destroy();
    return;
  }

  try {
    const payload = jwt.verify(token, process.env.JWT_SECRET);
    // 校验通过，才允许升级
    server.handleUpgrade(req, socket, head, (ws) => {
      ws.userId = payload.userId; // 挂载到实例上供后续使用
      server.emit('connection', ws, req);
    });
  } catch (err) {
    socket.write('HTTP/1.1 401 Invalid token\r\n\r\n');
    socket.destroy();
  }
});

必须手动写响应并 destroy() socket，否则客户端会卡在 pending 状态
错误响应体可为空，但状态行和空行（\r\n\r\n）不可省略
不要在 connection 事件里校验——那时连接已建立，只能踢人，无法阻止握手

为什么不能在 on('connection') 里做身份验证

因为 on('connection') 是WebSocket连接**已经成功建立后**触发的事件。此时TCP+HTTP升级已完成，服务端已返回101 Switching Protocols，客户端 readyState === 1。你这时发现Token无效，只能主动 ws.close(4001, 'Invalid auth')，但资源（内存、fd、心跳逻辑）已被分配，且攻击者可反复建连消耗服务端资源。

WebSocket 8.18.2

WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。

下载