Node.js+JWT场景下，如何用Socket.io仅向已认证用户发数据？

这问题我之前也碰到过，要实现只给已认证用户广播Socket事件，核心是把Socket连接和用户的认证状态绑定起来，下面一步步来改：

不管是Web端还是移动端，在建立Socket连接时都要带上用户的JWT——因为Socket的初始握手是HTTP请求，我们可以通过query参数传递：

Web端修改 #

// 假设你的JWT存在localStorage里
const token = localStorage.getItem('your-jwt-storage-key');
// 连接Socket时携带token
this.socket = io.connect('/', { query: { token: token } });

// 原来的sendSomething方法不用改，正常发送事件即可
sendSomething(add) {
  this.socket.emit('add', add);
  console.log(add);
}

移动端（Angular）修改 #

ngOnInit() {
  // 从你的认证服务中获取JWT
  const token = this.authService.getAuthToken();
  // 连接Socket时携带token
  this.socket = io('http://your-server-domain', { query: { token: token } });

  // 修正原代码的参数顺序问题（message才是回调的第一个参数）
  this.socket.on('message', (message) => {
    console.dir(message);
    // 你的消息处理逻辑
  });
}

首先确保服务器已安装jsonwebtoken库（没装的话先执行npm install jsonwebtoken），然后修改Socket连接的处理逻辑：

const jwt = require('jsonwebtoken');
const io = require('socket.io')(yourServerInstance);

// 存储已认证用户的Socket连接：key为用户ID，value为socket实例数组（支持多设备登录）
const connectedAuthenticatedUsers = new Map();

io.on('connection', (socket) => {
  // 从握手请求的query中获取token
  const token = socket.handshake.query.token;
  
  if (!token) {
    // 无token直接断开连接
    socket.disconnect(true);
    return;
  }

  try {
    // 验证JWT，使用你登录/注册时用的密钥
    const decoded = jwt.verify(token, 'your-jwt-secret-key');
    const userId = decoded.userId; // 假设你的JWT中存储了用户ID

    // 将当前Socket与用户关联
    if (!connectedAuthenticatedUsers.has(userId)) {
      connectedAuthenticatedUsers.set(userId, []);
    }
    connectedAuthenticatedUsers.get(userId).push(socket);

    console.log(`用户 ${userId} 已认证并连接`);

    // 断开连接时清理对应的Socket
    socket.on('disconnect', () => {
      const userSockets = connectedAuthenticatedUsers.get(userId);
      if (userSockets) {
        const updatedSockets = userSockets.filter(s => s.id !== socket.id);
        updatedSockets.length === 0 
          ? connectedAuthenticatedUsers.delete(userId) 
          : connectedAuthenticatedUsers.set(userId, updatedSockets);
      }
      console.log(`用户 ${userId} 断开连接`);
    });

    // 修改add事件的广播逻辑：只发给已认证用户
    socket.on('add', (add) => {
      console.log(add);
      // 遍历所有已认证的Socket，发送消息
      connectedAuthenticatedUsers.forEach((sockets) => {
        sockets.forEach(s => {
          s.emit('message', {type: 'new-add', text: add});
        });
      });

      // 也可以用更简洁的方式：收集所有认证Socket的ID，批量发送
      // const allAuthSocketIds = [];
      // connectedAuthenticatedUsers.forEach(sockets => {
      //   sockets.forEach(s => allAuthSocketIds.push(s.id));
      // });
      // io.to(allAuthSocketIds).emit('message', {type: 'new-add', text: add});
    });

  } catch (err) {
    // JWT验证失败，直接断开连接
    console.log('无效JWT，断开连接');
    socket.disconnect(true);
    return;
  }
});

• JWT验证时机：必须在Socket连接建立时就验证，直接拒绝未认证的连接，避免后续无效的事件处理。
• 用户-Socket映射维护：用Map存储用户与Socket的关联，支持多设备登录场景；断开连接时及时清理，防止内存泄漏。
• 定向广播：不再使用io.emit（发给所有连接），只给connectedAuthenticatedUsers中的Socket发送消息，确保只有已认证用户能收到。

如果你的JWT中存储的用户标识不是userId，替换成你实际使用的字段（比如username或email）即可，逻辑完全一致。

内容的提问来源于stack exchange，提问作者filipbarak