Wie kann ich Benutzer in Play 2.0 WebSocket authentifizieren?

Question

ellou '

Ich habe gemeinsame Play WebSocket-Methode, die wie erwartet funktioniert, aber ich muss Benutzer authentifizieren. Leider, wenn auch einfachste Art und Weise versuchen, Benutzer in dem Verfahren zu identifizieren:

public class Application extends Controller { 
    public static WebSocket<JsonNode> connect() { 
     return new WebSocket<JsonNode>() { 

      @Override 
      public void onReady(final WebSocket.In<JsonNode> in, final WebSocket.Out<JsonNode> out) { 
       User logged = User.findByUsername(Http.Context.current().request().username()); 
       // ... 
      } 
     }; 
    } 
} 

ich einen Fehler:

java.lang.RuntimeException: There is no HTTP Context available from here. 

Meine aktuelle Problemumgehung ist zufällig, eindeutige Kennung es in User-Modell anzuzeigen passiert und Speicher , als ich aus der Sicht mit dem Socket verbinden und Benutzer mit der angegebenen Kennung finden kann, aber das ist nicht perfekt, da es nur eine WebSocket-Verbindung pro Benutzer geben kann und die Spoof auch nicht verhindert.

Wie soll ich den Benutzer authentifizieren und einen Spoof-Angriff verhindern?

Answer 1

Als Daten-I empfindlich senden möchten und in diesem Fall die Sicherheit ist mir wichtiger als die Leistung, schließlich habe ich zweistufige Nachrichten, die zuerst über die WebSocket-ID der Nachricht und einige nicht wichtige Daten senden und dann nach der Authentifizierung des Benutzers über den AJAX- und den gesicherten Aktionsnachrichtentext abrufen.

Frage bleibt geöffnet: Natürlich, wenn es andere Vorschläge sein werde ich meine Stimme :)

Answer 2

Ich weiß nicht, wo kommt Ihr Stück Code, aber Sie sollten auf die HTTP-Anfrage auf die Initialisierung des Websocket (erste Verbindung) zugreifen können, dh Sie sollten in der Lage sein, die Authentifizierung nur zu überprüfen, wenn Sie initiieren Die Websocket-Socket-Verbindung (der nachfolgende Aufruf verwendet kein HTTP, so funktioniert Webscokets).

So zum Beispiel in Ihrem Controller, Sie so etwas wie dieses haben könnte:

public class Application extends Controller { 

    public static WebSocket<JsonNode> connect() { 

     Logger.info("Username from request = " + request().username()); 

     return new WebSocket<JsonNode>() { 

      @Override 
      public void onReady(final WebSocket.In<JsonNode> in, final WebSocket.Out<JsonNode> out) { 
       // .... 

      } 

     }; 
    } 

} 

Answer 3

ändern

Haben Sie den authentifizierten Benutzer-ID aus der HTTP-Session statt versucht, Abrufen? Der Kontext scheint zu diesem Zeitpunkt verfügbar zu sein.