Javascript-форум (https://javascript.ru/forum/)
-   Общие вопросы Javascript (https://javascript.ru/forum/misc/)
-   -   Атака на WebSocket! Как обойти? (https://javascript.ru/forum/misc/85236-ataka-na-websocket-kak-obojjti.html)

webgraph 22.05.2023 07:45

Атака на WebSocket! Как обойти?
 
Для меня WebSocket всегда был нечто передовым и инновационным. Отправляешь всего 1 запрос на сервер и он устанавливает соединение, через которое данные передаются в реальном времени.

Но мне стало интересно что произойдёт, если я или кто-то другой захочет поиграться и, например, запустить цикл for на 1_000_000 итераций и в каждой отправлять сообщение на сервер?

Не долго думая, мой ноут начал чуть ли не взлетать от взвинченных кулеров, а WebSocket-сервер покорно трудился над поставленной задачей.

Nginx, выступая в качестве прокси-сервера, как бы сказал "пока!", потому что запрос-то всего один был — при установлении соединения. Он даже не может влиять на лимит скорости в этом Web-Socket-соединении...

На просторах интернета совершенно нет никакой информации о каком-либо лимитировании в веб-сокетах...

И вот казалось бы — когда разрабатывали стандарт, неужели было сложно добавить пару заголовков на установление лимитов скорости, размера передаваемых сообщений, количества сообщений в единицу времени? Чтоб прямо из браузера низя было делать а-та-та?

Есть ли какое-то решение для установления ограничений в WebSocket на стороне клиента? И как вообще теперь с этим жить...

const socket = new WebSocket("ws://localhost:8081");

let message = '';

socket.onopen = function() {
    for(let i = 0; i < 1_000_000; i++) {
        message += '1234567890';
        socket.send(message);
    }
}

Nexus 22.05.2023 22:11

Ограничения на кол-во сообщений/обращений должно быть на стороне сервера, не клиента.
Без rate limiter'а не стороне сервера подобные ограничения на стороне клиента - как дверь в открытом поле.

В http3, я почему то уверен, подобных заголовков тоже нет, если не считать 429 status code за оные.


Часовой пояс GMT +3, время: 03:54.