如何在Socket.io服务端安全获取发送消息的用户名？

不用依赖那个8年前的socket.io.users包，自己在服务端维护用户名和Socket连接的映射关系就能解决问题，同时避免客户端篡改用户名的风险，具体方案如下：

核心思路 #

服务端自己管控用户名与Socket连接的绑定逻辑：

• 用户首次提交用户名后，服务端校验合法性（比如是否重名），通过后将用户名与当前socket.id/Socket实例绑定，存在服务端内存中
• 后续客户端发消息时，服务端直接从自己维护的映射表中取出对应用户名，无需客户端传递，从根源避免篡改
• 针对socket.id刷新变更的问题，通过会话持久化实现自动重新绑定

具体实现代码 #

1. 基础版本（无会话持久化） #

服务端维护两个映射表，分别用于通过Socket找用户名、通过用户名找Socket：

// 服务端代码
const { Server } = require('socket.io');
const io = new Server(3000);

// 用户名 -> Socket实例（方便给指定用户发消息）
const userSocketMap = new Map();
// Socket.id -> 用户名（方便从连接取用户名）
const socketUserMap = new Map();

io.on('connection', (socket) => {
  // 监听用户登录请求
  socket.on('login', (username) => {
    // 简单校验：用户名是否已被占用
    if (userSocketMap.has(username)) {
      socket.emit('login-failed', '该用户名已被使用');
      return;
    }
    // 建立绑定关系
    userSocketMap.set(username, socket);
    socketUserMap.set(socket.id, username);
    socket.emit('login-success');
  });

  // 监听客户端发送消息
  socket.on('send-message', (content) => {
    const username = socketUserMap.get(socket.id);
    if (!username) {
      socket.emit('error', '请先完成登录');
      return;
    }
    // 广播消息，服务端带上合法用户名
    io.emit('receive-message', {
      username: username,
      content: content,
      timestamp: new Date().toLocaleTimeString()
    });
  });

  // 断开连接时清理映射
  socket.on('disconnect', () => {
    const username = socketUserMap.get(socket.id);
    if (username) {
      userSocketMap.delete(username);
      socketUserMap.delete(socket.id);
    }
  });
});

2. 优化版本（支持会话持久化，避免重复登录） #

如果想让用户刷新页面后不用重新登录，可以配合Express会话实现自动绑定新的socket.id：

// 服务端代码（配合Express）
const express = require('express');
const session = require('express-session');
const { Server } = require('socket.io');

const app = express();
const server = app.listen(3000);
const io = new Server(server);

// 配置会话
app.use(session({
  secret: 'your-custom-secret-key',
  resave: false,
  saveUninitialized: false,
  cookie: { secure: false } // 开发环境用false，生产环境建议true（HTTPS）
}));

// 将Express会话与Socket.IO关联
io.use((socket, next) => {
  session(socket.request, socket.request.res, next);
});

const userSocketMap = new Map();
const socketUserMap = new Map();

io.on('connection', (socket) => {
  const session = socket.request.session;
  // 如果会话中已有用户名，自动绑定当前新的Socket连接
  if (session.username) {
    userSocketMap.set(session.username, socket);
    socketUserMap.set(socket.id, session.username);
  }

  socket.on('login', (username) => {
    if (userSocketMap.has(username)) {
      socket.emit('login-failed', '该用户名已被使用');
      return;
    }
    // 绑定关系并存入会话
    userSocketMap.set(username, socket);
    socketUserMap.set(socket.id, username);
    session.username = username;
    session.save();
    socket.emit('login-success');
  });

  // 发送消息逻辑同基础版本
  socket.on('send-message', (content) => {
    const username = socketUserMap.get(socket.id);
    if (!username) {
      socket.emit('error', '请先完成登录');
      return;
    }
    io.emit('receive-message', { username, content });
  });

  socket.on('disconnect', () => {
    const username = socketUserMap.get(socket.id);
    if (username) {
      userSocketMap.delete(username);
      socketUserMap.delete(socket.id);
    }
  });
});

关键优势 #

• 完全由服务端控制用户名的合法性与绑定关系，客户端无法篡改发消息时的用户名
• 自己维护映射表，无需依赖过时的第三方包
• 通过会话持久化解决了socket.id刷新变更的问题，提升用户体验

内容的提问来源于stack exchange，提问作者user19430065