无法使用 websockts 和 socket.io 从 cookie 获取连接的会话 ID

Question

在socket.io服务器的配置中，我有以下代码，它从标头中的cookie中获取会话id，我想验证会话是否与登录的用户相对应（我使用express作为http服务器，并且用于存储会话的 MemoryStore）。

  io.set('authorization', function (handshakeData, callback) {
    var cookies = handshakeData.headers.cookie;
    cookies = connect.utils.parseCookie(cookies);
    var sid = cookies['connect.sid'];  
    /* verify that is a valid session */
  });

当我从 Firefox 连接到我的 node.js 时，这有效，最终使用长轮询，但当我从使用 WebSockets 的 Chrome 连接时失败。它不起作用的原因是当客户端代码连接到套接字时，Chrome 根本不会在标头中发送 cookie。

有没有办法让 Chrome 通过 WebSockets 发送 cookie？

如果不是，我应该如何存储 sessionID 以便在验证套接字连接时可以访问它？

我还应该注意到，保存会话 ID 的 cookie 设置为仅 http，我在其他地方看到过这可能是问题所在？我的理解是，删除该选项会增加您遭受 XSS 攻击的脆弱性吗？

感谢您的帮助！

Answer 1

不熟悉 Chrome 的特定行为。然而，很难保证你会得到像 Flash 套接字这样的 cookie，socket.io 可能会依赖它。

但是，您可以在连接时使用 https 之类的内容通过 socket.io 手动发送会话 ID ://github.com/carhartl/jquery-cookie 或者只是通过 javascript 访问 cookie（例如 document.cookie）。无论交通如何，您都可以保证以这种方式获得它。

Answer 2

尝试在客户端上禁用 Flash 套接字和 Web 套接字：

        var socket = new io.Socket(null, {
              rememberTransport: false,
              transports: [
                  //'websocket', 
                  //'flashsocket',
                  'htmlfile',
                  'xhr-multipart',
                  'xhr-polling']
            })

        socket.on('connect',
            function() {
                console.log(arguments);
            }
        );

        socket.on('message',
            function(data) {
                console.log(arguments);
            }
        );