27、实时订阅与测试实践

实时订阅与测试实践

1. 实时订阅的实现与认证

1.1 实时订阅概述

通过 Apollo Subscriptions，我们可以订阅后端发送的事件，并利用这些新数据实时更新 UI。不过，目前在 messageAdded 订阅中，用户未通过 JWT 进行身份验证，却能收到新消息，这存在安全隐患，后续需要改进。

1.2 认证问题分析

此前，我们在浏览器的 localStorage 中实现了身份验证，后端生成签名的 JWT，客户端在每个请求的 HTTP 头中发送该 JWT。在引入 WebSockets 后，需要单独处理其认证问题。

我们可以通过浏览器的开发者工具来分析问题。以 Chrome 浏览器为例，打开 Network 标签，按 WS 类型过滤网络请求，能看到后端的订阅端点连接。在这个过程中，我们会发现所有客户端都会收到新消息的推送，这意味着即使不是特定聊天的成员，也能收到消息，给数据安全带来风险。

1.3 后端代码改进

1.3.1 实现 onConnect 事件认证

在 index.js （服务器的 subscriptions 文件夹中）的 SubscriptionServer 初始化的第一个参数中添加以下代码：

onConnect: async (params,socket) => {
  co