🎤 欢迎来到 Laravel WebSocket 讲座！认证与安全传输篇

大家好，欢迎来到今天的讲座！今天我们要聊一聊如何在 Laravel 中实现 WebSocket 的连接认证和消息的安全传输。WebSocket 是一种非常酷的技术，它可以让服务器和客户端实时通信，但如果不小心处理，可能会被黑客盯上（😱）。所以，今天我们不仅要让 WebSocket 跑起来，还要让它跑得又快又安全！

---

🌟 第一部分：WebSocket 连接认证

在 WebSocket 世界里，连接认证就像是给你的房子装上一把密码锁。没有正确密码的人是进不来的！那我们怎么在 Laravel 中实现这个功能呢？别急，让我们一步一步来。

1. 使用 Laravel Echo Server 和 Passport

Laravel 提供了 laravel-echo-server，这是一个轻量级的工具，可以帮助我们管理 WebSocket 连接。而 Passport 是 Laravel 的 OAuth2 实现，可以用来生成 JWT Token，作为认证的凭据。

配置步骤

首先，在你的 Laravel 项目中安装 Passport：

composer require laravel/passport

然后运行以下命令来设置 Passport：

php artisan passport:install

接下来，我们需要修改 config/auth.php 文件，将 API 的驱动改为 passport：

'guards' => [
    'api' => [
        'driver' => 'passport',
        'provider' => 'users',
    ],
],

现在，我们可以通过 API 登录并获取 Token：

Route::post('/login', function (Request $request) {
    $credentials = $request->only(['email', 'password']);
    if (!Auth::attempt($credentials)) {
        return response()->json(['error' => 'Unauthorized'], 401);
    }
    $user = Auth::user();
    $token = $user->createToken('WebSocketToken')->accessToken;
    return response()->json(['token' => $token]);
});

在 Laravel Echo Server 中配置认证

编辑 laravel-echo-server.json 文件，添加 Passport 的认证方式：

{
    "authHost": "http://localhost",
    "authEndpoint": "/broadcasting/auth",
    "clients": [],
    "database": "redis",
    "databaseConfig": {
        "redis": {}
    },
    "devMode": true,
    "host": null,
    "port": "6001",
    "protocol": "http",
    "sslCertPath": "",
    "sslKeyPath": "",
    "sslCertChainPath": "",
    "sslPassphrase": "",
    "subscribers": {
        "http": true,
        "redis": true
    },
    "apiAuthentication": true, // 开启 API 认证
    "authMiddleware": "AppHttpMiddlewareAuthenticate" // 自定义中间件
}

2. 自定义中间件进行认证

我们可以创建一个自定义中间件来验证用户的身份：

php artisan make:middleware WebSocketAuthenticate

在 app/Http/Middleware/WebSocketAuthenticate.php 中编写逻辑：

public function handle($request, Closure $next)
{
    try {
        $user = Auth::guard('api')->user(); // 使用 Passport 验证
        if (!$user) {
            return response()->json(['error' => 'Unauthorized'], 401);
        }
    } catch (Exception $e) {
        return response()->json(['error' => 'Unauthorized'], 401);
    }

    return $next($request);
}

最后，将这个中间件应用到广播认证路由中：

Route::middleware(['auth:api', 'websocket.authenticate'])->post('/broadcasting/auth', function () {
    return Broadcast::auth(request()->all());
});

---

🛡️ 第二部分：WebSocket 消息的安全传输

认证只是第一步，确保消息在传输过程中不被篡改或窃听同样重要。下面我们来看几个关键点。

1. 使用 HTTPS 和 WSS

WebSocket 协议有两种形式：ws:// 和 wss://。前者是明文传输，后者是加密传输。为了保证安全性，我们一定要使用 wss://。

在 laravel-echo-server.json 中，启用 SSL：

"protocol": "https",
"sslCertPath": "/path/to/cert.pem",
"sslKeyPath": "/path/to/key.pem"

2. 消息签名

即使使用了 WSS，也不能完全排除消息被伪造的可能性。因此，我们可以为每条消息添加签名。签名可以基于发送者的身份和消息内容生成。

假设我们有一个简单的消息结构：

字段	描述
user_id	发送者 ID
content	消息内容
timestamp	时间戳
signature	签名

签名的生成逻辑如下：

use IlluminateSupportFacadesHash;

function generateSignature($userId, $content, $timestamp, $secretKey) {
    $data = "$userId:$content:$timestamp";
    return Hash::make($data, ['algo' => 'sha256', 'key' => $secretKey]);
}

// 示例
$userId = 1;
$content = "Hello, world!";
$timestamp = time();
$secretKey = config('app.websocket_secret');

$signature = generateSignature($userId, $content, $timestamp, $secretKey);

// 返回的消息
$message = [
    'user_id' => $userId,
    'content' => $content,
    'timestamp' => $timestamp,
    'signature' => $signature,
];

在接收端，我们需要验证签名是否匹配：

function verifySignature($message, $secretKey) {
    $expectedSignature = generateSignature(
        $message['user_id'],
        $message['content'],
        $message['timestamp'],
        $secretKey
    );
    return Hash::check($expectedSignature, $message['signature']);
}

if (!verifySignature($receivedMessage, config('app.websocket_secret'))) {
    throw new Exception("Invalid message signature");
}

3. 消息加密

如果需要更高的安全性，可以对消息内容进行加密。这里推荐使用 Laravel 内置的加密工具：

use IlluminateSupportFacadesCrypt;

// 加密消息
$encryptedContent = Crypt::encryptString($content);

// 解密消息
$decryptedContent = Crypt::decryptString($encryptedContent);

这样，即使消息被截获，攻击者也无法直接读取内容。

---

🎉 总结

通过今天的讲座，我们学会了如何在 Laravel 中实现 WebSocket 的连接认证和消息的安全传输。以下是重点回顾：

• 认证：使用 Passport 和 Laravel Echo Server 来验证用户身份。
• HTTPS/WSS：确保所有通信都经过加密。
• 消息签名：防止消息被伪造或篡改。
• 消息加密：进一步保护敏感数据。

希望今天的分享对你有所帮助！如果你有任何问题，欢迎随时提问 😊