Flash Socket安全提示？

Question

過去幾天我一直在使用套接字玩，並且對安全性有一些疑問。我在客戶端運行Flash websocket，在服務器上運行PHP套接字服務器。

我有一個應用程序，用戶創建私人聊天室。我的問題是，我應該注意哪些安全問題？我在聊天室頁面上進行身份驗證，以確保用戶有權在那裏，等等。

但是，有什麼我需要做的websocketserver.php，以防止人們發送消息到一個房間，如果他們沒有權限在那裏？

Answer 1

我聊天室頁

什麼樣的 「認證」 做認證？一次登錄以提供頁面？那將基本上是零安全。

您必須發出某種令牌並在套接字連接開始時發送它，然後驗證連接服務器端（通過令牌）以確保它來自經過身份驗證的用戶。否則，簡單地連接到服務器並開始發送消息將非常簡單。

的基本模型可能看起來像這樣

1. 用戶登錄到聊天
2. 驗證用戶數據等
3. 發行此用戶令牌，存儲此令牌，在DB和發送到頁面
4. 啓動您的套接字連接併發送令牌
5. 檢查websocket服務器中的令牌並獲得匹配的用戶
6. 現在驗證對這個用戶的權限

至於令牌的生命週期的所有行動，應儘快連接終止刪除。