我有一个Spring MVC服务器,它提供了一堆REST端点以及一个websocket端点.除登录端点之外的所有内容都需要身份验我正在使用JWT来验证来自客户端的请求.

当用户登录时,我正在返回包含JWT令牌的X-AUTH-TOKEN标头.然后,在每个请求到服务器的同一个头中传递此令牌.这一切都适用于REST端点,但我无法弄清楚如何在websocket上执行此操作.

我正在使用SockJS,当我打开连接时：

var socket = new SockJS('/socket/updates',null,{});

这会导致对/ socket / updates / info？t = xxx的GET请求返回403(因为默认情况下一切都需要auth).

理想情况下,我只是在SockJS发出的任何XHR请求上发送我的X-AUTH-TOKEN标头,但我看不到添加标头查看API的任何方法.

最糟糕的情况我可以改变SockJS这样做,但我想知道这个功能是否被故意遗漏了？我知道SockJS出于安全原因不支持cookie,但这不是我想要做的.

此外,为了进行测试,我确实允许信息端点具有匿名访问权限,然后在一堆其他端点上使用403 – 只需在这些请求中传递auth详细信息而不是在我的服务器安全性中挖洞,感觉更优雅.

任何帮助赞赏.

干杯