如何使用Node.js / Express + Passport + Websockets进行身份validation？
我正在构build一个使用Passport.js和OAuth策略进行身份validation的angular2-login-seed 。 很显然，使用这些工具进行身份validation的默认方法是使用通过express签名的HTTP cookie。 从我所知道的护照pipe理实际的Set Cookie头，以便express可以通过request.isAuthenticated()validation每个后续请求，并通过req.session.passport.dataHere访问由护照设置的数据。
我想通过websockets将实时数据整合到应用程序中。 这当然意味着从服务器到客户端的套接字stream。 这个通信完全独立于普通的HTTP服务器请求，意思是：
-
它不包含所有HTTP请求包含的HTTP cookie
-
Express不会与套接字进行交互，它使用后端使用的任何实现（sock.js，socket.io）进行pipe理。
这使得简化表示HTTP请求之间的authentication以及websocket数据到后端是困难的，因为它们是单独的通信方法。
从我的研究来看，这给了我两个select。 其中之一是使用库来给我的套接字实现（最好是socket.io上的sock.js，但我需要做更多的研究）访问快速会话。 然后，我可以validation套接字连接，但我想要的。 问题是我不知道如何将快速cookie从前端的stream，因为JavaScript无法访问它（HTTP只有cookie）。
我见过的另一个常见解决scheme是使用JWT（JSON Web Tokens）。 围绕这个存储的实现将JWT存储在前端的localstorage中。 这是SPA（在我的情况下，Angular2服务）可以发送每个请求“无状态”服务器身份validation，我们可以通过websocket发送validationwebsocket连接（前端JS显然有权访问本地存储） 。 想到这个实现时，想到了几件事情：
-
Passport OAuth策略甚至有可能使用JWT而不是常规会话信息？ 这将涉及什么样的修改？ 从我可以告诉Passport策略使用某种forms的OAuth1或OAuth2父策略进行身份validation，默认使用Cookie。
-
将这个重要的信息存储在本地存储中将会打开应用程序直到安全漏洞（XSS，CSRF等）
-
如果是这样，我见过的最常见的解决方法是将JWT存储在一个cookie中，这样它不能被轻易访问，欺骗或伪造。 但是，这使我回到了之前使用智威汤逊的地位，所以不用担心。
-
这是否意味着我不得不在后端使用某种状态pipe理存储（例如Redis）来pipe理JWT主体的身份validation和解码？ （我对Redis一无所知，等等）。
连接服务器HTTP请求和套接字数据之间的身份validation的想法很奇怪，但对正确authentication一个套接字连接看起来至关重要。 我有点惊讶一个更简单的方法不存在。 我已经做了一些研究，并且看到了诸如socketio-jwt ， express-jwt等等的东西，但是我不知道这是否可以用Passport策略进行可pipe理的转换，或者如果打开快速会话数据到套接字的实现，或者如果我正在做这一切都错了！
任何帮助或指导将非常感谢。
然后，我可以validation套接字连接，但我想要的。 问题是我不知道如何将快速cookie从前端的stream，因为JavaScript无法访问它（HTTP只有cookie）。
使用express-socket.io-session会话authentication是在握手时完成的，而握手是一个http请求，所以即使你的cookies只有http，它也可以工作。 （由我自己testing）