Laravel Broadcasting - частные каналы доступны без токена на предъявителя - PullRequest
Новая
       104

Laravel Broadcasting - частные каналы доступны без токена на предъявителя

0 голосов
/ 14 июля 2020

Я установил socket.io с laravel -echo, чтобы присоединиться и прослушать laravel каналы вещания. Каналы Publi c работают нормально, так как не требуют авторизации. Частные каналы не работают должным образом, я могу присоединиться к любому частному каналу с клиентом socket.io без передачи токена авторизации .

Клиент Socket.io 

window.Echo = new Echo({
    host: "http://127.0.0.1:6001",
    auth:{
        headers: {
            Accept: 'application/json',
            Authorization: 'Bearer ',
        },
    },
    broadcaster: 'socket.io',
});

window.Echo.private('user'+"."+userid)
.listen('Notification', (e) => {
    console.log(e);
})

Laravel Конфигурация эхо-сервера 

{
"authHost": "http://127.0.0.1:8000",
"authEndpoint": "/broadcasting/auth",
"clients": [],
"database": "redis",
"databaseConfig": {
    "redis": {
        "port": "6379",
        "host": "localhost"
    },
    "sqlite": {}
},
"devMode": true,
"host": null,
"port": "6001",
"protocol": "http",
"socketio": {},
"secureOptions": 67108864,
"sslCertPath": "",
"sslKeyPath": "",
"sslCertChainPath": "",
"sslPassphrase": "",
"subscribers": {
    "http": true,
    "redis": true
},
"apiOriginAllow": {
    "allowCors": true,
    "allowOrigin": "localhost",
    "allowMethods": "GET, POST",
    "allowHeaders": "Origin, Content-Type, X-Auth-Token, X-Requested-With, Accept, Authorization, X-CSRF-TOKEN, X-Socket-Id"
}
}

Маршруты каналов 

Broadcast::channel('user.{userId}', function ($user, $userId) {
    return (int) $user->id === (int) $userId;
});

BroadcastServiceProvider 

Broadcast::routes(['middleware' => ['auth:api']]);

Конфигурация аутентификации 

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],

    'api' => [
        'driver' => 'passport',
        'provider' => 'users',
        'hash' => false,
    ],
],

127.0.0.1: 8000 / broadcasting / auth Ответ при доступе без токена 

{"message":"Unauthenticated."}

Laravel -Echo-Server 

[4:50:17 PM] - Preparing authentication request to: http://127.0.0.1:8000
[4:50:17 PM] - Sending auth request to: http://127.0.0.1:8000/broadcasting/auth
[4:50:17 PM] - LtnbMInYDGa_QMMcAAAA authenticated for: private-user.1
[4:50:17 PM] - LtnbMInYDGa_QMMcAAAA joined channel: private-user.1

Итак, я предполагаю, что laravel -echo-server не возвращает false при ответе «Без аутентификации»

Любая помощь будет принята с благодарностью

1 Ответ

0 голосов
/ 14 июля 2020

Хорошо, это было забавное решение. Я решил проверить, как laravel -echo-server запрашивает "широковещательную передачу / аутентификацию" и как он обрабатывает ответ на этот запрос.

Вы можете посмотреть здесь: https://github.com/tlaverdure/laravel-echo-server/blob/master/src/channels/private-channel.ts

Итак, laravel -echo-server возвращает истину, если код ответа широковещательной передачи / аутентификации равен 200, и возвращает ложь, если код ответа не равен 200 или если при запросе произошла ошибка.

Проблема здесь в том, что когда вы отправляете запрос на laravel api-маршрут, обработанный паспортной аутентификацией, он возвращает сообщение «Неаутентифицировано», но без кода 401, из-за чего laravel -echo-server считает, что запрос был успешным и позволяет пользователю присоединиться к каналу.

Решение:

  1. Возврат кода 401 с ответом без проверки подлинности паспорта
  2. ПО промежуточного слоя для проверки подлинности канала

Возвращение кода 401 с ответом без проверки подлинности паспорта

projectdir \ app \ Exceptions Handler. php

...
use Illuminate\Auth\AuthenticationException;

...
public function render($request, Exception $exception)
{
    if($exception instanceof AuthenticationException){
        return response()->json(['message' => $exception->getMessage()], 401);
    }else{
        return response()->json(['message' => $exception->getMessage() ]);
    }

    return parent::render($request, $exception);
}

ПО промежуточного слоя для Аутентификация канала

php artisan make: middleware [name]

projectdir \ app \ Http \ Middleware [name]. php

use Closure;
use Illuminate\Support\Facades\Auth;

class SocketAuth
{

    public function handle($request, Closure $next)
    {
        $user = Auth::User();

        if($user !== null){
            if($request->channel_name == "private-user.".$user->id){
                return $next($request);
            }else{
                return response()->json(["message" => "Unauthenticated."], 401);
            }
        }

        return response()->json(["message" => "Unauthenticated."], 401);
    }
}

BroadcastServiceProvider 

Broadcast::routes(["prefix" => "api", 'middleware' => ['auth:api', 'SocketAuth']]);

Зарегистрировать промежуточное ПО

projectdir \ app \ Http Kernel. php

protected $routeMiddleware = [
    ...
    'SocketAuth' => \App\Http\Middleware\SocketAuth::class,
];

Laravel -Конфигурация эхо-сервера 

"authEndpoint": "/api/broadcasting/auth",

Результат

  1. Без аутентификации 401 - (Laravel -Echo-Server False) Вкл: [токен отсутствует в запросе со стороны клиента, запрошенный канал пользователя! == запрашивающий канал пользователя]

  2. аутентифицирован 200 - (Laravel -Echo -Server True) On: [Токен присутствует в запросе со стороны клиента и запрошенном канале пользователя == Запрашиваемый канал пользователя]

Вы можете применить свой logi c для аутентификации пользователей к каналам в промежуточном программном обеспечении.

...