如何在Socket.IO通信中使用JWT Token？Angular与Node.js-Express鉴权咨询

安全阿岳

2026-5-27

Socket.IO用户身份验证：我的实现思路可行吗？

我正在尝试通过Socket.IO实现Angular和Node.js/Express之间的通信，想搞清楚用户身份认证的最佳方式。目前我有如下代码实现思路，想问问这个方式是否可行？

io.on('connection', function (socket) { 
  let jwt = socket.token; //to Implement 
  let isAuth = authService.verifyToken(jwt); 
  if (!isAuth) { 
    socket.disconnect() 
  } 
});

你的核心思路是完全没问题的——在Socket.IO建立连接的第一时间验证JWT令牌、拒绝未认证的连接，这是行业内处理Socket.IO身份认证的常规做法。不过你的代码里有几个关键细节需要调整，不然可能会遇到功能异常或者安全漏洞：

socket.token的获取逻辑需要补全：Socket.IO的socket对象本身没有默认的token属性，你得明确令牌是从哪里传递过来的。常见的几种可靠方式：
- 通过连接时的query参数：客户端连接时携带?token=xxx，服务端通过socket.handshake.query.token获取
- 通过请求头（适用于WebSocket或HTTP长轮询传输）：服务端从socket.handshake.headers中读取，比如socket.handshake.headers.authorization（通常是Bearer xxx格式，需要先去掉前缀）
- 注意：不要依赖客户端后续发送的事件来传递令牌，因为这种方式下连接已经建立，未认证的客户端可能会占用服务器资源
异步验证逻辑的处理：如果你的authService.verifyToken是异步操作（比如需要查询数据库验证令牌是否被吊销），直接同步判断会导致逻辑错误——你需要用async/await或者Promise来处理异步流程，确保验证完成后再执行断开操作。示例调整后的代码：

io.on('connection', async function (socket) { 
  // 假设从请求头获取Bearer格式的令牌
  const authHeader = socket.handshake.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return socket.disconnect(true); // 无有效令牌，强制断开
  }

  const token = authHeader.slice(7); // 去掉"Bearer "前缀
  try {
    // 异步验证令牌
    const isValid = await authService.verifyToken(token);
    if (!isValid) {
      return socket.disconnect(true);
    }
    // 验证通过后，可以将用户信息挂载到socket对象，后续事件直接使用
    socket.user = await authService.extractUserFromToken(token);
  } catch (error) {
    // 令牌过期、签名无效等异常，直接断开连接
    socket.disconnect(true);
  }
});

断开连接的参数优化：使用socket.disconnect(true)而非无参数的socket.disconnect()，前者会强制关闭连接并触发客户端的disconnect事件，让客户端能明确感知到认证失败的状态，便于后续处理。
客户端配合实现：Angular客户端需要在连接时正确传递令牌，示例代码如下：

// Angular Socket.IO客户端连接示例
import { io, Socket } from 'socket.io-client';

// 从本地存储获取已有的JWT令牌
const authToken = localStorage.getItem('userAuthToken');
const socket: Socket = io('http://your-server-domain', {
  // 方式1：通过query传递令牌
  query: {
    token: `Bearer ${authToken}`
  },
  // 方式2：通过请求头传递（部分传输方式支持）
  extraHeaders: {
    Authorization: `Bearer ${authToken}`
  }
});

总的来说，只要补全这些细节，你的方案就是一个健壮且安全的Socket.IO身份验证实现。另外还可以考虑添加：

客户端认证失败后的重连限制（避免无限重连消耗资源）
令牌过期后的自动刷新机制（提升用户体验）

内容的提问来源于stack exchange，提问作者maroodb