Безопасность WebSocket. Как идентифицировать клиента?

Question

[Николай Маринкин]

Я разрабатываю приложение для ВКонтакте, и впервые использую технологию WebSocket. В связи с этим есть вопрос о безопасности соединения.
Сейчас схема авторизации простая:
1. Клиент авторизуется с ВКонтакте через OAuth
2. Клиент посылает на мой сервер полученную от ВКонтакте сессию
3. Сервер проверяет валидность сессии ВКонтакте(access_token)
4. Если сессия валидна, то авторизуем пользователя и на своем сервере.

Все общение с сервером происходит через WebSocket. Тут возникает вопрос, обязательно ли в каждом сообщении передавать access_token для проверки пользователя, или же используя WebSocket это не обязательно?

Answer 1

[Николай Маринкин]

Вопрос решен.
Я использую socket.io, там есть параметр socket.id - проверку провожу по нему.
К тому же access_token нативного приложения ВКонтакте можно посмотреть в headers

Answer 2

[xmoonlight]

а без него работает?)

Answer 3

[Николай]

Не нужно!