32

私はSocket.IOを数日間使用してきましたが、非常にエキサイティングであり、さらに苛立たしいものでした。現在のドキュメント/チュートリアルがないため、学習が非常に困難になっています。私はついに基本的なチャットシステムを作成することができましたが、1つの明白な質問があります。どうすれば保護できますか？

悪意のあるユーザーがコードをコピー（または編集）してサーバーに接続するのを防ぐにはどうすればよいですか？PHPスクリプトからユーザー名を取得してSocket.IOに送信すると、そのユーザーとして認識できます（もちろん、PHPにはセキュリティがあります）が、未登録のユーザー名を送信するのを妨げるものは何ですか？

送信されたイベントが本物であり、改ざんされていないことを確認するにはどうすればよいですか？

参考のために私の基本的なsocket.ioチャット。

サーバ：

var io = require('socket.io').listen(8080);
var connectCounter = 0;
io.sockets.on('connection', function (socket) {
connectCounter++;
 console.log('People online: ', connectCounter);

socket.on('set username', function(username) {
socket.set('username', username, function() {
console.log('Connect', username);

    });
});
socket.on('emit_msg', function (msg) {
    // Get the variable 'username'

socket.get('username', function (err, username) {
      console.log('Chat message by', username);
      io.sockets.volatile.emit( 'broadcast_msg' , username + ': ' + msg );
    });

  });

socket.on('disconnect', function() { connectCounter--; });
});

クライアント：

    <?php session_start() ?>
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="utf-8" />
    <title>untitled</title>
</head>
<body>
<input id='message' type='text'>
<div id="content"></div>
<script src="http://localhost:8080/socket.io/socket.io.js"></script>
<script src="http://code.jquery.com/jquery-latest.js"></script>

<script>
  var socket = io.connect('http://localhost:8080');
$.ajax({
type: 'GET',
  url: 'https://mysite.com/execs/login.php?login_check=true',
  dataType: 'json',
   success: function(data) {
var username = data.username;
socket.emit('set username', username, function (data){
});

}
});

  socket.on('broadcast_msg', function (data) {
        console.log('Get broadcasted msg:', data);
        var msg = '<li>' + data + '</li>';
        $('#content').append(msg);
      });


$('#message').keydown(function(e) {
if(e.keyCode == 13) {
e.stopPropagation();
          var txt = $(this).val();
          $(this).val('');
          socket.emit('emit_msg', txt, function (data){
            console.log('Emit Broadcast msg', data);
          });
}
});
</script>
</body>
</html>

セキュリティがまったくないことを除いて、すべてがダンディに機能します。

4

2 に答える 2

8

ノードサーバーにRedisのようなKey-Valueストアをインストールできる場合は、 PredisのようなRedisクライアントを使用してphpサーバーからリモートでアクセスできます。PHPサーバーで新しいログイン/ログアウトが発生したときに、ノードサーバーのリモートセッションストアを更新するだけです。

詳細については、この投稿を確認してください：socket.io/nodejsのユーザーを認証する

于 2012-07-22T12:01:48.450 に答える
3

Express用の優れたパスポートフレームワークは、安全なCookieを使用してIDを検証します。socket.ioからアクセスするためのモジュールもあります。

于 2013-06-28T12:07:59.637 に答える