看起来很容易添加自定义HTTP头到你的websocket客户端与任何HTTP头客户端支持这一点，但我不知道如何与web平台的websocket API。
有人知道怎么做到吗?
var ws = new WebSocket("ws://example.com/service");
具体来说，我需要能够发送HTTP授权标头。
当前回答
不可能发送授权头。
附加令牌查询参数是一个选项。然而，在某些情况下，以纯文本作为查询参数发送主登录令牌可能是不可取的，因为它比使用报头更不透明，并且最终会被记录在任何地方。如果这引起了您的安全问题，另一种替代方法是仅为web套接字使用第二个JWT令牌。
创建一个REST端点来生成这个JWT，当然，只有使用主登录令牌(通过报头传输)进行身份验证的用户才能访问它。web套接字JWT可以配置不同于您的登录令牌，例如有一个更短的超时，所以它是更安全的发送作为您的升级请求的查询参数。
为注册SockJS eventbusHandler的同一路由创建一个单独的JwtAuthHandler。确保先注册了认证处理程序，这样你就可以根据数据库检查web套接字令牌(JWT应该在后端以某种方式链接到你的用户)。
其他回答
我发现最好的方法是将jwt像常规消息一样发送到服务器。让服务器监听此消息并在此时进行验证。如果有效，则将其添加到存储的连接列表中。否则，返回一条消息，说该连接无效并关闭连接。下面是客户端代码。后台是一个使用Websockets的nestjs服务器。
socket.send(
JSON.stringify({
event: 'auth',
data: jwt
})
);
在我的情况下(Azure时间序列洞察wss://)
使用ReconnectingWebsocket包装器，并能够实现添加头与一个简单的解决方案:
socket.onopen = function(e) {
socket.send(payload);
};
本例中的有效载荷为:
{
"headers": {
"Authorization": "Bearer TOKEN",
"x-ms-client-request-id": "CLIENT_ID"
},
"content": {
"searchSpan": {
"from": "UTCDATETIME",
"to": "UTCDATETIME"
},
"top": {
"sort": [
{
"input": {"builtInProperty": "$ts"},
"order": "Asc"
}],
"count": 1000
}}}
我的情况:
我想连接到一个生产WS服务器www.mycompany.com/api/ws… 使用真实凭证(会话cookie)… 从本地页面(localhost:8000)。
设置文档。Cookie = "sessionid=foobar;path=/"不会有帮助，因为域不匹配。
解决方案:
将127.0.0.1 wsdev.company.com添加到/etc/hosts.
这样，当您从有效的子域wsdev.company.com连接到www.mycompany.com/api/ws时，浏览器将使用来自mycompany.com的cookie。
多亏了kanaka的回答。
客户:
var ws = new WebSocket(
'ws://localhost:8080/connect/' + this.state.room.id,
store('token') || cookie('token')
);
服务器(在本例中使用Koa2，但在其他地方应该类似):
var url = ctx.websocket.upgradeReq.url; // can use to get url/query params
var authToken = ctx.websocket.upgradeReq.headers['sec-websocket-protocol'];
// Can then decode the auth token and do any session/user stuff...
从技术上讲，您将在协议升级阶段之前通过connect函数发送这些头文件。这在我的一个nodejs项目中是有效的:
var WebSocketClient = require('websocket').client;
var ws = new WebSocketClient();
ws.connect(url, '', headers);
