用户套接字是否为关键信息？ （安全观点）

Question

我正在使用socket.io构建聊天应用程序。如果客户端在安全性方面收到对话者的套接字ID，这样可以吗？客户可以使用此信息执行某些操作吗？我的假设不是因为只有服务器可以向其他客户端发送消息，但我是Websocket机制的新手，所以我并不完全了解所有可能性。

Answer 1

socket.id只是套接字对象的字符串标识符，可以由服务器在内部使用，也可以作为该用户的“句柄”与其他客户端共享。客户端无法对服务器不专门支持命令的套接字执行任何操作（除了连接/断开连接）。

因此，如果id是秘密是否重要，完全取决于您支持的服务器操作以及它们采用的参数。默认情况下，客户端无法对id执行任何操作。因此，除非您的服务器支持带有id的命令，并且您的设计期望id是秘密，否则应该没有问题。