0

Подскажите, есть ли какой-то способ или возможность работать с сессиями на сервере после получения сообщения от клиента? Я так понимаю можно передать id сессии, который хранится в куке, но вот как потом с этим делом работать, не совсем представляю.


Простой пример: Есть некоторые операции, которые могут выполнять только определенные группы пользователей, у которых есть определенное значение в $_SESSION['groupId']. Нужно как-то проверить, если ли у пользователя, который отправил запрос-сообщение в вебсокет, права на отправку таких запросов. Если есть - вебсокет возвращает какое-то сообщение или производит какие-то действия с базой данных.

Или нужен какой-то другой вариант, как организовать безопасную работу с вебсокетом, при определенной системе ролей пользователей в проекте.

2 ответа 2

2
+150

Для начала нужно понимать что из себя представляет механизм сессий:

  • PHP передает клиенту (браузеру) куку со спец. именем (по умолчанию PHPSESSID)
  • Браузер как и положено передает все куки обратно серверу с каждым запросом
  • PHP зная имя спец. параметра в куке, который является именем сессии, находит физический файл сессии в папке, в которой хранятся файлы сессий PHP (определяется настройками в php.ini)

Сам файл сессии представляет из себя сериализованный ассоциативный массив.

И да, это всё касается конечно же HTTP-протокола.

Руководствуясь данной информацией несложно сделать вывод, что если хотите при общении с веб-сокетом использовать данные сессии клиента, то необходимо по веб-сокету с клиента передавать идентификатор сессии из куки самостоятельно, и самостоятельно находить файл сессии в файловой системе вашего сервера. По безопасности, думаю, что это не менее безопасно как и передача сессии по http и никакие дополнительные токено-генерилки делать не нужно.

1

Работа с websockets средствами php на сервере по определению не очень хорошо. И про $_SESSION - забудьте сразу. Авторизацию socket соединения нужно проводить отдельно, например по токену. Можно сгенерить его из email юзера + соли. По этому токену при инициализации определяете пользователя и его права и храните эти данные в списке подписчиков websocket обработчика. При подаче команды - сверяете есть ли у данного подписчика нужные права.

3
  • А какие средства лучше тогда использовать для организации постоянного соединения? Знаю, про Node.js, которым тыкают везде, но он пригоден далеко не для всех проектов.
    – Floyat
    12 июл 2016 в 10:46
  • NodeJS действительно лучший вариант, что есть. Для PHP я в паре проектов использовал github.com/nekudo/php-websocket (вроде) , помогает в освоении технологии на раннем этапе, но в итоге портировал всё на Node, код получается проще и изящней. Связь с основным проектом можно делать или через json API или через БД подключив библиотеку mysqljs
    – iosp
    12 июл 2016 в 14:09
  • По моему опыту, нужно отталкиваться от задачи. Конечно, про вебсокеты на PHP легенд не слагают, но у кого-то это работает) Вот хорошая статья по вебсокетам PHP на Хабре
    – t0di
    12 июл 2016 в 17:33

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.