Autenticação via websocket

[brunosemfio]

Estou desenvolvendo uma aplicação e esbarrei com um problema. A autenticação em algumas rotas da api é feita via JWT. Basicamente tenho um interceptor que insere um authorization no header a cada request e funciona muito bem. O problema vem quando tento fazer uma conexão websocket. O WebSocketChannel.connect não permite inserir um header e não achei um modo de interceptar a request. Qual o melhor modo de lidar com isso?

[JoaoWitorFelipe]

Fazendo uma pesquisa rápida, eu encontrei isso:
https://devcenter.heroku.com/articles/websocket-security#:~:text=parse%20the%20data.-,Authentication%2Fauthorization,also%20secure%20the%20WebSocket%20connection.

Talvez utilizar algum autenticação Basic ou cookie. Mas como você disse, não há um cabeçalho no websocket para enviar seu Authorization, então teria que inserir manulamente.

Aqui tem referências com o conceito de "handshake":
https://developer.mozilla.org/en-US/docs/Web/API/WebSockets_API/Writing_WebSocket_servers#client_handshake_request

Acho que é isso, espero ter ajudado 😃

[JoaoWitorFelipe]

Mas por curiosidade, essa request "comum" que devolve o token é protegido por alguma regra ou é aberta?

[brunosemfio]

Penso em enviar o access token.

[JoaoWitorFelipe]

Mas se você já tem o access token por que não usa ele direto para autenticar no seu websocket? Já que o websocket em si suporta isso 🤔

[brunosemfio]

Só pra separar as coisas hehe.

[JoaoWitorFelipe]

Ah entendi! Estava pensando nisso também 😅