now.js/socket.ioのチャットでセキュリティを強化する

Question

nowjsまたはsocket.ioとチャットすると、チャットを実行するのが最も簡単です。私はnowjsのグループオブジェクトを使用して、マルチルームチャット（固定されていない部屋数とログインしたユーザー）を実装したいと考えています。

私はWebSocketを直接使用していませんが、セキュリティ上の懸念があることを知りたいと思います。たとえば、認証を確認する頻度はどのくらいですか？

攻撃者がsocket.io接続を「ハイジャック」する可能性はありますか？どのように防止できますか？

他にどのようなセキュリティトラップがありますか？

Answer 1

中間者は確かに考慮すべき事項です。しかし、最大のセキュリティ問題はXSSだ。

This useful SO threadが示唆：0.8 socket.io

1. は、チャットが知られている起源からのものである場合
2. に建てられたリファラ検証、ファイアウォールでブロック余分な接続

This very informative articleは示唆している：

1. クライアントを信頼しない
2. 使用SSL暗号化
3. は、XSS（！クライアント入力をサニタイズ）
4. を防ぐ
5. の原点を確認し、それがブラウザ

This useful threadだと仮定していない安全な設定すると言う：真socket.ioに。接続する（...）

これらの提案をすべてお勧めします:)