使用ws.js实现WebSocket连接鉴权 是否存在更优雅的实现方案？

现有实现存在的问题 #

• 多连接状态冲突：将单连接的wsc对象、授权状态挂载到类实例属性上，多客户端同时连接时会互相覆盖引用，导致逻辑异常
• 断开逻辑无效：delete this.wsc仅删除实例属性引用，不会真正断开WebSocket连接，未授权客户端依然可以保持连接
• 缺少超时机制：客户端连接后不响应鉴权请求时，会持续占用服务器连接资源
• 逻辑冗余：所有消息无论是否授权都会进入全局消息回调，增加不必要的判断开销

优化后实现 #

const ws = require("ws");

class WebsocketHandler {
    /**
     * @param {number} port 监听端口
     * @param {string} authPass 鉴权密码
     * @param {number} authTimeout 鉴权超时时间，单位毫秒
     */
    constructor(port = 8080, authPass = "1234", authTimeout = 10000) {
        this.authPass = authPass;
        this.authTimeout = authTimeout;
        this.server = new ws.Server({ port });
        this.server.on("connection", this.handleConnection.bind(this));
    }

    handleConnection(wsc) {
        let isAuthorized = false;
        // 鉴权超时计时器，超时未通过直接断开
        const authTimer = setTimeout(() => {
            wsc.close(4001, "Authentication timeout");
        }, this.authTimeout);

        // 鉴权阶段消息处理
        const authHandler = (message) => {
            const pass = message.toString().trim();
            if (pass === this.authPass) {
                // 鉴权通过
                isAuthorized = true;
                clearTimeout(authTimer);
                // 移除鉴权阶段消息监听，绑定业务消息监听
                wsc.off("message", authHandler);
                wsc.on("message", this.handleBusinessMessage.bind(this, wsc));
                wsc.send("Authentication success");
                return;
            }
            // 鉴权失败直接断开
            wsc.close(4003, "Authentication failed");
        };

        wsc.on("message", authHandler);
        wsc.on("close", () => clearTimeout(authTimer));
        // 发起鉴权请求
        wsc.send("Authorize");
    }

    // 业务消息处理逻辑，只有鉴权通过的消息才会进入这里
    handleBusinessMessage(wsc, message) {
        // 执行后续业务逻辑
        console.log("Received business message:", message.toString());
    }
}

核心优化点 #

• 连接级状态隔离：所有连接相关的状态（授权状态、超时计时器）都存于连接作用域内，多连接之间完全独立互不干扰
• 主动断开逻辑：鉴权失败/超时直接调用close()方法断开连接，返回标准化错误码方便客户端处理
• 超时保护：超时未完成鉴权的连接会被主动清理，避免无效连接占用资源
• 逻辑分层：鉴权通过后才绑定业务消息监听，无需在业务逻辑中额外判断授权状态，减少冗余代码
• 可配置性：密码、端口、超时时间都支持实例化时自定义，无需修改类内部代码

内容的提问来源于stack exchange，提问作者PhoenixXKN