如何实现 Spring Boot WebSocket 的授权校验（以 Header 中的 Authorization 为例）

在 Spring Boot 中使用 WebSocket 实现授权校验

引言

WebSocket 是一种双向通信技术，在 Spring Boot 中广泛应用于建立客户端和服务器之间的全双工通信。为了确保 WebSocket 连接的安全性和可靠性，我们可以在 Spring Boot 中实现授权校验功能。本文将详细介绍如何在 Spring Boot 中使用 WebSocket 进行授权校验，以 header 中的 Authorization 为例。

前提知识

在开始之前，你需要了解以下内容：

• Spring Boot 基本知识
• WebSocket 基本概念
• Java 编程

步骤

1. 继承 ServerEndpointConfig.Configurator

public class CustomConfigurator extends ServerEndpointConfig.Configurator {

    @Override
    public void modifyHandshake(ServerEndpointConfig config, HandshakeRequest request, HandshakeResponse response) {
        // 获取 Header 中的 Authorization 内容
        String authorization = request.getHeaders().get("Authorization").get(0);

        // 将 Authorization 设置到 websocket session 中
        config.getUserProperties().put("authorization", authorization);
    }
}

2. 获取之前设置入 session 中的 Authorization 信息

@MessageMapping("/hello")
public String hello(@Header("Authorization") String authorization) {
    // 获取之前设置入 session 中的 Authorization 信息
    return "Hello, " + authorization;
}

3. 进行校验

if (authorization == null || authorization.isEmpty()) {
    // 校验失败，返回错误信息
    return "Unauthorized";
} else {
    // 校验成功，返回欢迎信息
    return "Welcome, " + authorization;
}

取消送入 Header 内容 Authorization 时的情况

当取消送入 header 内容 Authorization 时，连接先成功，后失败，则代表已经连接到服务器，但因为校验失败，被断开了连接。

总结

通过继承 ServerEndpointConfig.Configurator 并重写 modifyHandshake 方法，我们可以拦截 header 中的 Authorization 内容，并将其设置到 websocket session 中。在获取之前设置入 session 中的 Authorization 信息后，我们可以进行校验。取消送入 header 内容 Authorization 时，连接先成功，后失败，则代表已经连接到服务器，但因为校验失败，被断开了连接。

常见问题解答

• 1. 为什么需要在 WebSocket 中进行授权校验？
  答：授权校验可以确保只有经过授权的客户端才能连接到 WebSocket 服务器，防止未经授权的访问和潜在安全风险。
• 2. 除了 Authorization header 之外，还可以使用哪些 header 进行授权校验？
  答：除了 Authorization header，还可以使用其他 header 进行授权校验，例如 JWT（JSON Web Token）或自定义 header。
• 3. 如何处理授权校验失败的情况？
  答：授权校验失败时，可以返回错误消息或断开连接，具体处理方式取决于应用程序需求。
• 4. 如何在客户端设置 Authorization header？
  答：在客户端设置 Authorization header 的方法取决于所使用的 WebSocket 库或框架。
• 5. 是否可以在不使用 Authorization header 的情况下进行 WebSocket 授权校验？
  答：是的，可以使用其他授权机制，例如基于 cookie 或会话令牌的授权校验。