Wiosenny websocket z zabezpieczeniami stomp - każdy użytkownik może zasubskrybować kolejkę innych użytkowników?

Question

Stworzyłem prostą aplikację, która wykorzystuje mechanizm websockets na wiosnę 4. Używam w mojej aplikacji brokera activemq.

W moim prosty test i utworzyć 10 wiadomości do użytkownika o nazwie "Alejandro" (user/Alejandro/kolejka/pozdrowienia)

Kiedy loguję się z "Alejandro" i zapisać się do tej kolejki:

stompClient.subscribe('/user/alejandro/queue/greetings', function(greeting){ 
        showGreeting(JSON.parse(greeting.body).content); 
    }); 

Rzeczywiście otrzymuję wszystkie 10 wiadomości, które zostały pozyskane dla alejandro.

Problem polega na tym, że loguję się z innym użytkownikiem o nazwie "evilBart" i subskrybuję kolejkę alejandro, a także otrzymuję wiadomości?

Jak mogę wymusić na tym bezpieczeństwo? Chciałbym, aby użytkownik mógł zasubskrybować tylko własną kolejkę.

Dzięki!

moja klasa config:

@Configuration 
@EnableWebSocketMessageBroker 
public class WebSocketConfig extends AbstractWebSocketMessageBrokerConfigurer { 

@Override 
public void configureMessageBroker(MessageBrokerRegistry config) { 
    config.enableStompBrokerRelay("/queue/","/topic","/user/");  
    config.setApplicationDestinationPrefixes("/app"); 
} 

@Override 
public void registerStompEndpoints(StompEndpointRegistry registry) { 
    registry.addEndpoint("/hello").withSockJS(); 
} 

} 

Answer 1

Sprawdź to similar question: trzeba uwierzytelnić użytkownika za pośrednictwem protokołu HTTP przy użyciu Wiosna Zabezpieczenia, a następnie wysłać wiadomość do użytkowników z wykorzystaniem metody SimpMessageTemplate.convertAndSendToUser().

Answer 2

Możesz wybrać dwie opcje.

1. Po prostu usuń "/ user /" z pliku config.enableStompBrokerRelay. Wiadomość wiosenna będzie automatycznie prefiksowana.
   convertAndSendToUser nie jest dla przekaźnika pośrednika.

See org.springframework.messaging.simp.user packages source

użytkownik domyślny prefiks to '/ user /'. Można go zmienić z config.setUserDestinationPrefix()

2. Zastąpienie dwóch metod i obsługiwać go z ChannelInterceptor

Metody:

configureClientInboundChannel

configureClientOutboundChannel