WebSocket与Shiro认证信息传递的实现与安全性探讨

在现代Web应用程序中，WebSocket已经成为实时双向通信的重要组件。而Shiro作为一个强大的Java安全框架，用于处理身份验证、授权和会话管理。本文将探讨如何通过WebSocket与Shiro集成，实现认证信息的传递，并关注在这一过程中确保安全性的关键考虑因素。

WebSocket与Shiro集成

步骤概述

1. WebSocket连接建立： 客户端与服务器建立WebSocket连接时，可将Shiro的Session ID传递给服务器。

2. Session ID传递： 在连接建立后，通过WebSocket消息机制将Shiro的Session ID发送到服务器。

3. 服务器端处理： 服务器端接收WebSocket消息，解析其中的Session ID。

4. Shiro Session获取： 使用解析到的Session ID，服务器端通过Shiro的SessionManager获取Shiro的Session对象。

5. 认证信息提取： 从Shiro的Session对象中提取认证信息，如用户身份、角色、权限等。

6. WebSocket消息回复： 将认证信息通过WebSocket消息发送回客户端，可能需要对信息进行序列化。

代码示例

package com.nbsaas.boot.websocket;

import com.alibaba.fastjson2.JSON;
import com.alibaba.fastjson2.JSONObject;
import com.nbsaas.boot.rest.response.ResponseObject;
import com.nbsaas.boot.security.config.MySessionManager;
import com.nbsaas.boot.user.ext.domain.response.UserInfoExtResponse;
import org.apache.shiro.session.Session;
import org.apache.shiro.session.mgt.DefaultSessionKey;
import org.apache.shiro.subject.SimplePrincipalCollection;
import org.apache.shiro.subject.support.DefaultSubjectContext;
import org.springframework.beans.BeanUtils;
import org.springframework.web.socket.CloseStatus;
import org.springframework.web.socket.TextMessage;
import org.springframework.web.socket.WebSocketSession;
import org.springframework.web.socket.handler.TextWebSocketHandler;

import javax.annotation.Resource;
import java.util.ArrayList;
import java.util.Hashtable;
import java.util.List;
import java.util.Map;

public class TalkSocketHandler extends TextWebSocketHandler {

    public List<WebSocketSession> sessions = new ArrayList<>();

    public Map<String, WebSocketSession> sessionMap = new Hashtable<>();


    @Resource
    private MySessionManager mySessionManager;


    @Override
    protected void handleTextMessage(WebSocketSession session, TextMessage message) throws Exception {
        // 处理来自客户端的消息
        String payload = message.getPayload();
        System.out.println(sessionMap.size());
        JSONObject obj=null;
        try {
            obj = JSON.parseObject(payload);
        }catch (Exception e){
            session.sendMessage(new TextMessage(JSON.toJSONString(ResponseObject.error(501, "无效数据格式"))));
            return;
        }

        String sessionId = obj.getString("sessionId");
        if (sessionId == null) {
            session.sendMessage(new TextMessage(JSON.toJSONString(ResponseObject.error(501, "没有会话id"))));
            return;
        }
        try {
            UserInfoExtResponse result = getUserInfoExtResponse(sessionId);
            System.out.println(result);
        } catch (Exception e) {
            e.printStackTrace();
            session.sendMessage(new TextMessage(JSON.toJSONString(ResponseObject.error(401, "会话失效"))));
        }


        // 这里可以编写处理消息的逻辑
    }

    private UserInfoExtResponse getUserInfoExtResponse(String sessionId) {
        Session temp = mySessionManager.getSession(new DefaultSessionKey(sessionId));
        Object user = temp.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY);
        if (user == null) {
            return null;
        }
        if (user instanceof SimplePrincipalCollection) {
            SimplePrincipalCollection simplePrincipalCollection = (SimplePrincipalCollection) user;
            Object obj = simplePrincipalCollection.getPrimaryPrincipal();

            if (obj instanceof UserInfoExtResponse) {
                return (UserInfoExtResponse) obj;
            }
            UserInfoExtResponse result = new UserInfoExtResponse();
            BeanUtils.copyProperties(obj, result);
            return result;
        }
        return null;
    }

    @Override
    public void afterConnectionEstablished(WebSocketSession session) throws Exception {
        // 当WebSocket连接建立时调用
        super.afterConnectionEstablished(session);

        // 添加新连接的WebSocketSession到集合中
        sessions.add(session);
        sessionMap.put(session.getId(), session);
        // 执行其他初始化操作...
    }

    @Override
    public void afterConnectionClosed(WebSocketSession session, CloseStatus status) throws Exception {
        // 当WebSocket连接关闭时调用
        sessions.remove(session);
        sessionMap.remove(session.getId());

    }
}

前端websocket 传递这样的消息

{
"sessionId":"shiro会话id",
.... 其他内容
}

安全性探讨

1. 安全风险

在WebSocket传递认证信息的过程中，可能面临以下安全风险：

中间人攻击： 未加密的通信可能受到中间人攻击的威胁，导致信息泄露或篡改。
信息泄露： 如果不谨慎处理认证信息的传递，可能会导致敏感信息泄露。

2. 安全解决方案

为了应对这些安全风险，可以考虑以下解决方案：

• 加密通信： 使用WebSocket Secure (WSS) 或其他加密通信机制，确保传递的信息在传输过程中得到保护。
• 使用HTTPS： 将应用程序部署在HTTPS协议下，提供端到端的安全通信。
• CSRF防护： 在WebSocket连接建立时，可以采用CSRF防护机制，确保请求的合法性。

3. 用户隐私保护

在传递认证信息时，必须注意用户隐私的保护。这包括：

• 最小化传递信息： 仅传递必要的认证信息，避免传递过多敏感数据。
• 信息脱敏： 在传递信息前，对敏感信息进行适当的脱敏处理，以降低隐私泄露的风险。

结论

通过WebSocket与Shiro集成，实现认证信息的传递是一项复杂而关键的任务。在此过程中，确保通信的安全性和用户隐私的保护至关重要。通过加密通信、使用HTTPS和采用CSRF防护等方法，可以有效地应对潜在的安全风险，使得WebSocket与Shiro的集成更加可靠和安全。