웹소켓 편집하기 (부분)

== 보안 고려사항 ==

=== Origin 검증 ===

서버는 Origin 헤더를 보고 어떤 웹사이트와 소켓통신을 할지 결정하기 때문에 Origin 헤더는 웹소켓 통신에 중요한 역할을 한다.

서버에서 Origin을 검증하는 예제:
<syntaxhighlight lang="javascript">
const wss = new WebSocket.Server({
    port: 8080,
    verifyClient: (info) => {
        const origin = info.origin;
        const allowedOrigins = ['https://example.com', 'https://app.example.com'];
        return allowedOrigins.includes(origin);
    }
});
</syntaxhighlight>

=== 인증과 인가 ===

웹소켓 연결에서의 사용자 인증:

<syntaxhighlight lang="javascript">
const wss = new WebSocket.Server({
    port: 8080,
    verifyClient: (info, callback) => {
        // 토큰 검증
        const token = info.req.url.split('token=')[1];
        
        if (isValidToken(token)) {
            callback(true);
        } else {
            callback(false, 401, 'Unauthorized');
        }
    }
});
</syntaxhighlight>

=== Rate Limiting ===

[[DoS]] 공격 방지를 위한 연결 수 제한:

<syntaxhighlight lang="javascript">
const connections = new Map();

wss.on('connection', (ws, req) => {
    const ip = req.connection.remoteAddress;
    const connectionCount = connections.get(ip) || 0;
    
    if (connectionCount >= 10) {
        ws.close(1008, 'Too many connections');
        return;
    }
    
    connections.set(ip, connectionCount + 1);
    
    ws.on('close', () => {
        connections.set(ip, connections.get(ip) - 1);
    });
});
</syntaxhighlight>

=== CSRF 방지 ===

웹소켓은 [[SOP]](Same-Origin Policy)의 영향을 받지 않으므로 [[CSRF]] 공격에 취약할 수 있다. 적절한 토큰 검증이 필요하다.