如何结合过期机制安全管理WebSocket的JWT认证？

这是我的第一篇帖子！

我正在开发一个基于WebSocket的Web应用，需要实现认证功能。技术栈采用Python（搭配FastAPI）和VueJS，但具体技术细节不影响问题本身。

我原本计划通过Cookie存储JWT令牌，以此获得XSS和CSRF防护的安全性，但WebSocket与Cookie的配合存在以下问题：

• 客户端通过HTTP登录后，服务器会在Cookie中返回JWT令牌
• 客户端建立WebSocket连接时，Cookie会被正常发送，此时可以验证令牌的有效性
• 但通过WebSocket连接发送消息时无法携带Cookie

这导致JWT令牌过期后，我无法进行有效处理。

我查阅了相关资料，找到了几种可行方案，但都不尽如人意：

• 保持WebSocket连接开放并允许消息传输：直接绕过JWT的过期机制，存在安全隐患
• 令牌过期时关闭WebSocket连接，客户端重新获取令牌：客户端可能丢失断开重连期间的消息
• 改用localStorage存储令牌：会面临XSS攻击的风险

我是否遗漏了其他方案？如果只有这些选择，哪一种相对更优？

提前感谢您的帮助，如有表述不清的地方请告知。

附：抱歉我的中文不太好，我是法国人（honhon baguette）

可选方案分析 #

1. 基于WebSocket的主动令牌刷新 #

在WebSocket连接建立后，客户端可在令牌过期前的窗口期（比如提前5分钟），通过WebSocket向服务器发送刷新请求。服务器验证Cookie中的刷新令牌有效后，返回新的JWT令牌并更新Cookie。这种方式无需在消息中携带Cookie，既保留了Cookie的安全优势，又能避免令牌过期导致的连接中断。

2. 服务器推送过期预警 #

服务器实时跟踪用户令牌的过期时间，在令牌即将失效时，主动通过WebSocket向客户端发送预警消息。客户端收到后立即通过HTTP接口刷新令牌并更新Cookie，全程无需断开WebSocket连接，避免消息丢失。

3. 消息级哈希验证（折中方案） #

若必须在消息层面做验证，可在每个WebSocket消息的payload中携带JWT令牌的哈希值（而非完整令牌），服务器将该哈希值与Cookie中令牌的哈希结果比对完成校验。这种方式既避免了传输完整令牌的风险，又能实现消息级别的有效性验证，仅需额外处理哈希逻辑。

现有方案优先级建议 #

如果只能从你列出的三个方案中选择：

• 优先选“令牌过期时关闭连接并重新获取”：虽然存在消息丢失风险，但可通过客户端本地缓存待发送消息、重连成功后补发的方式弥补，同时保留了Cookie的XSS/CSRF防护优势，是安全性与可用性最平衡的选择。
• 其次考虑“改用localStorage存储令牌”：若你的应用有完善的XSS防护措施（如严格的内容过滤、CSP策略、规避不安全第三方脚本），可尝试，但始终存在XSS攻击风险。
• 绝对不建议“保持连接开放”：完全绕过过期机制会导致恶意用户利用过期令牌进行未授权操作，带来严重安全隐患。

内容的提问来源于stack exchange，提问作者boumabcd