如何结合Spring Security和js sockjs-client

Question

我想通过sockjs-client创建一个Spring Server和一个Broswer javascript客户端连接。应通过Spring Security确保连接。

我有以下两难困境：

1. Spring Security似乎假设websocket握手是通过经过身份验证的http会话（例如JSESSIONID cookie set，登录发生）发生的。

然而，

2. sockjs-client似乎对开发人员施加了限制，即必须使用无经过身份验证的http会话（请参阅https://github.com/sockjs/sockjs-client/issues/196），并以任何方式执行此操作。

我对这种困境的评价是否正确，是否有任何明显的解决方案来实现带有websockets的弹簧服务器的安全性，以便sockjs-client可以安全连接？

如果用于创建经过身份验证的HttpSession，建议的在GET / info请求中传递任何身份验证令牌的解决方案似乎都是为了规避SockJS安全限制。

这似乎是几个人问题的基础，例如：

• No cookies during /info request using sockjs and stomp
• Authentication model for Spring Websocket + SockJS and sending messages on per-user basis
• How to get/set the principal and session attributes from Spring 4 stomp websocket methods
• https://stackoverflow.com/questions/33156282
• Spring Websockets @SendToUser without login?
• Spring Session Basic Auth token passed as query parameter in Spring-Websocket
• Spring security websocket and HTTP authentication/authorization
• Spring Session, Websocket Security integration flow
• Spring security/Spring session/Web sockets
• Spring Boot, Websockets cannot obtain user (i.e, java.security.Principal) from Session
• Spring 4 WebSockect over STOMP Authentication
• http://sunitkatkar.blogspot.de/2014/01/spring-4-websockets-with-sockjs-stomp.html

我看到了3种可供选择的方式：

1. 不要使用SockJs，只能使用本机Websocket
2. 通过query-param Token在经过身份验证的Http Session上使用SockJS，并牺牲一些安全性
3. 通过未经身份验证的http连接进行连接，并为spring-websockets实现自定义身份验证处理（可能基于春季会话）