Таааааааааааааак, хорошооооооооо, а к чему вы думаете закрепляются сессии? Напомню, что когда приходит http запрос на веб-сервер, он создает новый процесс пыха и подсовывает ему нужные данные. Ваш websocket сервер же - один единственный процесс, который никогда не подыхает, и никто ему ничего не подсовывает. Вопрос: откуда ему знать, что за данные вы хотите от него получить?
Вам прийдется написать отдельную систему авторизации для сокет-сервера, и.е. на фронте передавать какой-то параметр во время/после подключения сокет-серверу, содержащий информацию, с помощью которой можно секьюрно идентифицировать пользователя (кука, jwt, какой-то api ключ), после чего сокет-сервер должен как-то проверить эту информацию и куда-то сохранить инфу (в памяти), что "такое-то соедение пришло от юзера такого то".
