之前的文章中已经介绍过SpringBoot整合websocket的基本使用
在实际生产环境中，我们的websocket服务器一般儿都会设置一定的安全访问控制策略，不会允许客户端不经过认证就能同服务器进行通信服务，接下来给大家介绍下，通过在websocket建立握手阶段，验证客户端的相关凭证信息用以检测客户端身份的合法性，来实现服务器端的安全访问控制~
- SpringBoot版本 2.4.5
工作原理
Spring为我们提供了HandshakeInterceptor握手拦截器
查看源码可以看到HandshakeInterceptor中提供了beforeHandshake与afterHandshake两个方法，它作用在websocket建立连接握手前后阶段，通过在beforeHandshake方法中返回的布尔值，能决定是否允许建立websocket连接，基于此，我们就能实现服务器的安全访问控制了
使用方式
修改registerWebSocketHandlers配置，增加HandshakeInterceptor拦截器实现类，来实现自定义的拦截策略
详细代码参考：https://github.com/netbuffer/spring-boot-websocket-demo/blob/master/src/main/java/cn/netbuffer/springboot/websocket/demo/interceptor/RbacHandshakeInterceptor.java
拦截方案一 基于cookie的拦截策略
编写基于cookie的拦截方法，从cookie中解析出访问凭证信息token值，实际的token值应该基于用户输入的相关访问口令来签发生成的，要结合所用的shiro、spring security、sa-token等安全认证框架来综合考虑~，token值是经过安全算法生成的，不能被伪造，可以使用jwt（json web token）来承载
编写前端测试代码同服务器进行通信
详细代码参考：https://github.com/netbuffer/UItest/blob/master/websocket/index.html
第一次访问没有携带cookie中的token值，结果会被服务器拒绝连接
通过在开发者工具中注入cookie，设置token信息
再次访问前端测试页面，观察服务器日志输出，可以看到从cookie中解析出了token值，我们就可以根据token信息来验证访问合法性了
拦截方案二 基于querystring的拦截策略
通过在websocket连接地址中设置querystring参数，来验证token值
前端代码先不带querystring建立连接访问测试
观察服务器日志，没有从querystring中解析出token值，此时会拒绝连接
再次修改前端代码设置querystring值，访问服务器测试，观察服务器端日志中已经解析到了token值，据此可以验证访问合法性了
拦截方案三 基于HttpSession的拦截策略
通过检测HttpSession中用户的登录态，以及其他相关的web会话信息，来验证合法性；这种方式不适用于前后端分离的项目，受限于有HttpSession会话才能完成校验
这种方式下，需要在websocket建立连接之前，设置HttpSession会话信息，设置完成后再使用websocket建立连接才可行~
完整测试工程参考：https://github.com/netbuffer/spring-boot-websocket-demo
