Может ли злоумышленник изменить свой user_id и получать обновления других пользователей в веб-сокетах?

Question

Я использую Laravel Echo для сокета.

В моем HTML у меня есть:

<input type="hidden" id="user_id" value="<?php echo $user_id; ?>">

, и в моем бэк-энде я запускаю событие, когда пользователь обновляет ее / егопрофиль.Теперь в Echo у меня есть следующий код:

window.Echo.private('authenticate-user.' + user_id)
    .listen('ProfileUpdated', (updates) => {
        console.log(updates);
    });

, и мой вопрос заключается в том, может ли злонамеренный пользователь изменить свою / его user_id, чтобы присоединиться в качестве другого пользователя в authenticate-user privateканал и получает обновления других пользователей ?!Хотя при загрузке страницы она получает этот user_id и присоединяется к пользователю в канале, поэтому она / он не может сделать это до полной загрузки страницы, но я сомневаюсь, что если она / она может сделать что-то вредоносное в сетевых концепциях.Кстати, у меня есть идентификаторы хэшированные, но, вероятно, это не так.

Answer 1

используйте это $id = Auth::id();

(https://laravel.com/docs/5.7/authentication#retrieving-the-authenticated-user)

, которое получит идентификатор на стороне сервера