Как мне защитить Socket.IO?
Я работал с Socket.IO в течение нескольких дней, и это было невероятно увлекательно и еще более разочаровывающе. Отсутствие текущей документации / учебников сделало обучение очень трудным. Мне наконец удалось создать базовую систему чата, но есть один вопиющий вопрос. Как мне это защитить?
Что мешает злоумышленнику скопировать (или отредактировать) мой код и подключиться к моему серверу? Я могу взять имя пользователя из своего PHP-скрипта и отправить его в Socket.IO, чтобы я мог распознать его как этого пользователя (и, конечно, PHP имеет безопасность), но что мешает кому-то просто отправить незарегистрированное имя пользователя?
Как я могу убедиться, что представленные события являются подлинными и не были подделаны?
Мой основной чат socket.io для ссылок.
Сервер:
var io = require('socket.io').listen(8080);
var connectCounter = 0;
io.sockets.on('connection', function (socket) {
connectCounter++;
console.log('People online: ', connectCounter);
socket.on('set username', function(username) {
socket.set('username', username, function() {
console.log('Connect', username);
});
});
socket.on('emit_msg', function (msg) {
// Get the variable 'username'
socket.get('username', function (err, username) {
console.log('Chat message by', username);
io.sockets.volatile.emit( 'broadcast_msg' , username + ': ' + msg );
});
});
socket.on('disconnect', function() { connectCounter--; });
});
Клиент:
<?php session_start() ?>
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="utf-8" />
<title>untitled</title>
</head>
<body>
<input id='message' type='text'>
<div id="content"></div>
<script src="http://localhost:8080/socket.io/socket.io.js"></script>
<script src="http://code.jquery.com/jquery-latest.js"></script>
<script>
var socket = io.connect('http://localhost:8080');
$.ajax({
type: 'GET',
url: 'https://mysite.com/execs/login.php?login_check=true',
dataType: 'json',
success: function(data) {
var username = data.username;
socket.emit('set username', username, function (data){
});
}
});
socket.on('broadcast_msg', function (data) {
console.log('Get broadcasted msg:', data);
var msg = '<li>' + data + '</li>';
$('#content').append(msg);
});
$('#message').keydown(function(e) {
if(e.keyCode == 13) {
e.stopPropagation();
var txt = $(this).val();
$(this).val('');
socket.emit('emit_msg', txt, function (data){
console.log('Emit Broadcast msg', data);
});
}
});
</script>
</body>
</html>
Все работает отлично, за исключением отсутствия абсолютно никакой безопасности.