PHP网站连接Node.js多人游戏：用户追踪与身份传递方案咨询

我来帮你一步步解决这个问题——核心思路是把PHP端的用户标识通过跳转链接传递到游戏前端，再由前端发送给Socket.io服务器，接着在服务器端完成用户验证，最后把用户信息和socket关联起来供游戏逻辑使用。下面是具体实现步骤：

1. 修改PHP网站的跳转链接，携带用户标识 #

在你的PHP页面里，从会话中取出用户哈希和用户名，把它们作为查询参数附加到游戏链接上。为了防止参数被篡改，建议给参数加个签名（用HMAC算法），这是个很重要的安全措施。示例代码：

<?php
// 从会话获取用户信息
$user_hash = $_SESSION['user_hash'];
$username = $_SESSION['username'];

// 生成签名（可选但强烈推荐）
$secret_key = "your_secure_secret_key_here"; // 这个密钥要和Node端保持一致
$signature = hash_hmac('sha256', $user_hash . $username, $secret_key);

// 构建带参数的游戏链接
$game_url = "http://localhost:8080?user_hash=" . urlencode($user_hash) . "&username=" . urlencode($username) . "&signature=" . urlencode($signature);
?>
<a href="<?php echo $game_url; ?>">进入TDS游戏</a>

2. 游戏前端获取参数并传递给Socket.io #

在游戏客户端的JS文件里，先从URL中提取参数，然后在连接Socket.io时把这些参数一起发送给服务器：

// 解析URL中的查询参数
const urlParams = new URLSearchParams(window.location.search);
const userHash = urlParams.get('user_hash');
const username = urlParams.get('username');
const signature = urlParams.get('signature');

// 连接Socket.io时携带用户参数
const socket = io.connect('http://localhost:8080', {
  query: {
    user_hash: userHash,
    username: username,
    signature: signature
  }
});

3. Node.js服务器端接收参数并验证用户身份 #

接下来修改你的Node.js服务器代码，先获取前端传递的参数，然后连接数据库验证用户是否存在。这里以MySQL为例（你可以换成自己使用的数据库）：

首先安装数据库依赖（如果还没装）：

npm install mysql2

然后更新服务器代码：

const http = require('http');
const express = require('express');
const socketio = require('socket.io');
const TDSGame = require('./../tds-game');
const mysql = require('mysql2/promise');
const crypto = require('crypto'); // 用于验证签名

const app = express();
const clientPath = `${__dirname}/../client`;
console.log(`Serving static from ${clientPath}`);
app.use(express.static(clientPath));

// 数据库连接配置
const dbConfig = {
  host: 'your_database_host',
  user: 'your_database_user',
  password: 'your_database_password',
  database: 'your_database_name'
};

const server = http.createServer(app);
const io = socketio(server);
var waitingPlayers = [];
const secretKey = "your_secure_secret_key_here"; // 和PHP端一致的密钥

io.on('connection', async (sock) => {
  // 获取前端通过query传递的用户参数
  const { user_hash, username, signature } = sock.handshake.query;

  // 第一步：验证签名，防止参数被篡改
  const expectedSignature = crypto.createHmac('sha256', secretKey)
    .update(user_hash + username)
    .digest('hex');
  if (signature !== expectedSignature) {
    sock.emit('message', '请求无效，参数可能被篡改');
    sock.disconnect(true); // 直接断开非法连接
    return;
  }

  // 第二步：连接数据库验证用户是否存在
  let dbConnection;
  try {
    dbConnection = await mysql.createConnection(dbConfig);
    const [userRows] = await dbConnection.execute(
      'SELECT * FROM users WHERE user_hash = ? AND username = ?',
      [user_hash, username]
    );

    if (userRows.length === 0) {
      sock.emit('message', '用户不存在，请先登录');
      sock.disconnect(true);
      return;
    }

    // 验证通过，把用户信息绑定到socket对象上
    sock.userInfo = userRows[0];
    console.log(`用户 ${username} 成功连接游戏`);

    // 继续处理游戏匹配逻辑
    if(waitingPlayers.length === 3){
      waitingPlayers.push(sock);
      new TDSGame(waitingPlayers); // 现在每个socket都带有userInfo，游戏逻辑可直接访问
      waitingPlayers = [];
    } else{
      waitingPlayers.push(sock);
      sock.emit('message', '等待对手加入...');
    }

  } catch (err) {
    console.error('数据库验证出错:', err);
    sock.emit('message', '服务器内部错误，请稍后再试');
    sock.disconnect(true);
  } finally {
    if (dbConnection) await dbConnection.end(); // 关闭数据库连接
  }

  sock.on('message', (text)=>{
    io.emit('message', `${sock.userInfo.username}: ${text}`); // 发送消息时带上用户名
  });
});

server.on('error', (err)=>{
  console.log('Server Error', err);
});
server.listen(8080, ()=>{
  console.log('TDS started on 8080');
});

4. 在游戏逻辑中使用用户信息 #

现在每个socket对象都带有userInfo属性，你可以在TDSGame类里直接调用用户的哈希、用户名等信息：

// 示例TDSGame类
class TDSGame {
  constructor(players) {
    this.players = players;
    // 打印所有加入游戏的用户信息
    this.players.forEach(player => {
      console.log(`玩家加入：用户名=${player.userInfo.username}，哈希=${player.userInfo.user_hash}`);
    });
    // 其他游戏逻辑处理...
  }
}

额外安全提醒 #

• 不要在URL中传递敏感信息（比如密码），只传递用户哈希、用户名这类非敏感标识。
• 必须对参数进行签名验证，避免恶意用户篡改参数冒充他人。
• 数据库查询一定要用参数化查询（示例中已经做到），防止SQL注入攻击。

内容的提问来源于stack exchange，提问作者Ben