Авторизация на вебсокетах? Как передать токен?

Question

[jeruthadam]

Я так понял, что заголовки свои ставить невозможно (кроме протокола).
Куки не подходят из-за кроссдоменных запросов.
Остается только query, но насколько это безопасно?

Авторизировать хочется на момент соединения, а не в последующих onmessage.
Как вообще это правильно делать на вебсокетах?

Answer 1

[Иван Шумов]

1. Wss вместо WS
2. При соединении с сокетом отправляйте auth message с токеном (jwt, например) и пусть сервер помнит эту сессию пока токен не сдохнет

Comments

[jeruthadam]

message отправляется не при соединении, а после соединения

[Иван Шумов]

jeruthadam, я имел ввиду сразу после установки коннекта. Сервер не должен обращать внимание на соединение если нет этого сообщения и разрывать его по timeout, если его не было. Раз у вас сокет требует идентификации пользователя