У меня не получилось на сокетах прочитать сессию и куки. Я с каждым запросом на сокеты отправлял authkey, который выдавал пользователю после авторизации и проверял есть ли такой юзер в бд. Или можно даже закешировать во внешней переменной, чтобы не делать запрос в базу при каждом запросе.
Так что да, я post запросом делал авторизацию и на сокеты слал уже authkey из кук.