如何通过Socket事件认证实现登录及用户与Socket服务器的身份认证？

核心逻辑 #

Socket.io 身份认证的核心是在连接建立阶段验证用户身份，确保只有合法登录用户能建立连接，同时将用户信息与Socket实例绑定，方便后续通信时识别用户。

常见实现方案 #

方案一：基于JWT的认证（跨域场景首选） #

JWT（JSON Web Token）是无状态的认证方式，适合前后端分离或跨域场景，登录后前端拿到Token，连接Socket时携带Token供服务端验证。

客户端实现

登录成功后获取JWT，连接Socket.io时通过auth字段携带Token：

// 登录接口返回的JWT Token
const userToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

// 建立Socket连接并携带Token
const socket = io('http://your-server-domain', {
  auth: {
    token: userToken
  }
});

// 处理认证失败
socket.on('connect_error', (error) => {
  console.error('认证失败:', error.message);
});

服务端实现

通过io.use()中间件拦截连接请求，验证Token有效性，通过后绑定用户信息到Socket实例：

const { Server } = require('socket.io');
const jwt = require('jsonwebtoken');

const io = new Server(3000, {
  cors: {
    origin: 'http://your-client-domain' // 允许的客户端域名
  }
});

// 认证中间件
io.use((socket, next) => {
  try {
    // 从握手信息中获取Token
    const token = socket.handshake.auth.token;
    // 验证Token（替换为你的密钥和验证逻辑）
    const decodedUser = jwt.verify(token, 'your-jwt-secret-key');
    
    // 将用户信息挂载到Socket对象，后续通信可直接使用
    socket.user = decodedUser;
    next(); // 认证通过，允许建立连接
  } catch (err) {
    // 认证失败，拒绝连接
    next(new Error('无效Token，认证失败'));
  }
});

// 认证通过后的连接处理
io.on('connection', (socket) => {
  console.log(`用户 ${socket.user.userId} 已连接`);
  
  // 示例：处理用户发送消息事件
  socket.on('send-message', (content) => {
    console.log(`用户 ${socket.user.username} 发送消息：${content}`);
    // 可向其他用户广播消息
  });

  socket.on('disconnect', () => {
    console.log(`用户 ${socket.user.userId} 已断开连接`);
  });
});

方案二：基于Cookie-Session的认证（同域名场景） #

如果前后端同域名，可利用登录后服务器设置的Session Cookie，客户端连接时自动携带Cookie，服务端验证Session有效性。

客户端实现

连接时开启withCredentials允许携带Cookie：

const socket = io('http://your-server-domain', {
  withCredentials: true
});

服务端实现

结合Express Session中间件验证用户Session：

const { Server } = require('socket.io');
const express = require('express');
const session = require('express-session');

const app = express();
// 配置Session（生产环境需调整Cookie属性）
app.use(session({
  secret: 'your-session-secret',
  resave: false,
  saveUninitialized: false,
  cookie: { 
    secure: false, // 生产环境设为true（需HTTPS）
    httpOnly: true // 防止XSS窃取Cookie
  }
}));

const io = new Server(app.listen(3000), {
  cors: {
    origin: 'http://your-client-domain',
    credentials: true // 允许客户端携带Cookie
  }
});

// 将Express Session挂载到Socket请求
io.use((socket, next) => {
  session({
    secret: 'your-session-secret',
    resave: false,
    saveUninitialized: false
  })(socket.request, {}, next);
});

// 验证Session中的用户信息
io.use((socket, next) => {
  if (socket.request.session.user) {
    socket.user = socket.request.session.user;
    next();
  } else {
    next(new Error('未登录，认证失败'));
  }
});

// 处理已认证连接
io.on('connection', (socket) => {
  console.log(`用户 ${socket.user.id} 已连接`);
});

安全注意事项 #

• JWT需设置合理的过期时间，避免长期有效；
• 生产环境必须使用HTTPS传输，防止Token/Cookie被窃取；
• Cookie需开启HttpOnly和Secure属性，降低XSS风险；
• 验证Token/Session时，需严格校验签名和用户信息，避免伪造。

内容的提问来源于stack exchange，提问作者Shubham Sonwane