О получении идентификатора пользователя:

Каждый пример чата в реальном времени, который я видел, получал идентификатор от клиента. Это небезопасно, потому что клиент легко может им манипулировать, поэтому мне нужно было найти другой метод. Прочитав спецификации WAMP, я наконец понял что я должен аутентифицировать пользователя не только в приложении, но и в Crossbar.io. Я выбрал динамический метод WAMP-CRA и реализовал его следующим образом:

• Приложение PHP подключается к серверу Crossbar и регистрирует пользовательский аутентификатор (аналогично пример)
• После входа пользователя в приложение для него создается секретный ключ, который сохраняется в базе данных. После выхода ключ уничтожается.

• Рабочий процесс:

  1. Каждая загруженная страница содержит идентификатор пользователя и секретный ключ, загруженные из базы данных:

     <script>
         auth_id = '<?php echo $user->id ?>';
         secret_key = '<?php echo $user->secret_key ?>';
     </script>
     

  2. Пользовательский браузер подключается к серверу Crossbar.io и получает ответ с запросом от пользовательского аутентификатора.
  3. Он вычисляет подпись с помощью key и отправляет вместе с auth_id на сервер Crossbar.io.
  4. Аутентификатор получает из БД секрет для предоставленного auth_id и вычисляет подпись. Затем подписи сравниваются, и если они равны, то аутентификация успешна.
  5. Теперь auth_id содержит идентификатор пользователя, и мы можем доверять его значению. Теперь вы можете обратиться к разделу «Как я могу получить auth_id при подписке?».

Ответы:

Как я могу получить auth_id при подписке?

По умолчанию издатели и подписчики ничего не знают друг о друге, но документация показывает, что существует возможность изменить его, настроив раскрытие личности вызывающего абонента. Затем вы можете получить auth_id из деталей обратного вызова:

• PHP:

  $onEvent = function ($args, $argsKw, $details, $publicationId) use ($session) {
      $auth_id = $details->publisher_authid;
      ...
  }
  $session->register('com.example.event', $onEvent);
  

• JS:

  function on_event(args, kwargs, details) {
      auth_id = details['publisher_authid'];
      ...
  }
  session.subscribe('com.example.event', on_event);
  

Я также добавил аутентификацию cookie, и браузер запоминается после аутентификации. Но когда я смотрю в Chrome DevTools, в локальном хранилище нет файлов cookie или значений. Даже после очистки кеша мой браузер все еще запоминается Crossbar. Интересно, как это возможно?

Прежде всего, очистка кеша и жесткая перезагрузка не удаляют файлы cookie. Когда я задавал этот вопрос, был представлен какой-либо файл cookie, но сегодня я вижу cbtid: Через два дня было обновление Chrome назад, так что, возможно, это было вызвано ошибкой в ​​предыдущей версии.

Я глубоко освещаю Streamer, который используется НАСА для пересылки грузовиков данных в секунду. Самый надежный сервер для обмена сообщениями в реальном времени. Мощные веб-приложения, приложения для мобильных устройств, планшетов, компьютеров и Интернета вещей.

Оптимизированная потоковая передача данных для Интернета и мобильных устройств. Lightstreamer поддерживает несколько форм обмена сообщениями в реальном времени. Он достаточно гибкий, чтобы его можно было использовать в любом сценарии, включая критически важные приложения. ► Отправка данных в реальном времени и веб-сокеты

Что касается вашего первого вопроса, чтобы получить auth_id при подписке, просто отслеживайте подписки на подключение, а затем сохраняйте уровень после успешного подключения. Также не рекомендуется использовать файлы cookie, используйте jwt. Веб-токены JSON - это открытый отраслевой стандартный метод RFC 7519 для безопасного представления претензий между двумя сторонами. Аутентификация является одной из основных частей каждого приложения. Безопасность - это всегда что-то, что меняется и развивается. JWT помогает вам решить эту проблему, поскольку он не имеет состояния.

PHP Ratchet - одна из лучших реализаций, которые я использовал для связи в реальном времени через WebSockets. Он основан на сокетах ZMQ, которые используются в нескольких игровых онлайн-приложениях и приложениях для чата.

Следующие примеры помогут вам быстро начать работу и ответят на ваши вопросы о auth_id и подписках:

http://socketo.me/docs/hello-world

http://socketo.me/docs/push

Обзор архитектуры:

http://socketo.me/docs/push#networkarchitecture

Я бы посоветовал создавать отдельные соединения (топики) для каждого разговора, поскольку это не сильно снижает производительность и добавит дополнительный уровень безопасности для каждого чата.