用戶套接字標識是否爲關鍵信息？ （安全角度）

Question

我使用socket.io構建聊天應用程序。如果客戶端在安全性方面收到他們的對話者的套接字ID，那麼可以嗎？客戶可以用這些信息做些什麼嗎？我的假設是沒有，因爲只有服務器可以發送消息給其他客戶端，但我是新來的Websocket機制，所以我沒有完全意識到所有的可能性。

Answer 1

socket.id只是套接字對象的字符串標識符，可以在服務器內部使用，也可以與其他客戶端共享爲該用戶的「句柄」。客戶端無法使用服務器沒有專門支持命令的套接字（連接/斷開連接除外）。

因此，如果id是一個祕密，它是否重要取決於您支持哪些服務器操作以及它們採用哪些參數。默認情況下，客戶端無法使用該ID進行任何操作。所以，除非你的服務器支持一個需要一個id的命令，並且你的設計需要這個id是一個祕密，那麼應該沒有問題。