🪒 nest Websocket에 세션이 안된다고?

분야	작성자	작성일
BE	김민수	24년 11월 13일

어떤 문제인가요?

nestjs에서 websocket에서 쿠키를 전송했을 때 세션 값이 controller에 전달되지 않는 문제가 발생했다.

해당 문제가 왜 발생했나요?

nestjs에서 websocket server는 http server와 별도로 분리가 되기 때문에 http에 설정한 미들웨어들이 공유하지 않는다. (심지어 미들웨어에 전달되는 매개변수도 다르다.)

문제를 어떻게 해결했나요?

해당 문제를 해결하기 위해 전용 가드를 만들었다.

먼저 HTTP와 Websocket 서버와 세션을 공유하기 위해 MemoryStore를 Provider로 생성했다.

export const MEMORY_STORE = Symbol('memoryStore');

@Module({
  providers: [
    {
      provide: MEMORY_STORE,
      useFactory: () => {
        return new MemoryStore();
      },
    },
  ],
  exports: [MEMORY_STORE],
})
export class SessionModule {}

이후 express-session에서 해당 스토리지를 사용하도록 했다.

// main.ts
const store = app.get(MEMORY_STORE);
app.use(session({ ...sessionConfig, store }));

웹 소켓에서 쿠키 값을 전달받으면 쿠키를 해석하여 세션 키 값을 가져와야 된다. 이때 설정된 passport에서 나타나는 쿠키 값의 형식은 다음과 같다.

• 쿠키 형식 - [쿠키이름] = s:[쿠키값].[무결성 확인코드]

이때 무결성 확인코드는 세션 키의 값을 secret으로 해시화 한 코드로, 들어온 쿠키가 서버에서 생성한 쿠키인지 확인하는 용도로 사용된다. 따라서 아래의 코드를 통해서 세션 키를 가져오도록 했다.

const DEFAULT_SESSION_ID = 'connect.sid';

export const websocketCookieParse = (socket: Socket) => {
  if (!socket.request.headers.cookie) {
    throw new WsException('not found cookie');
  }
  const cookies = cookie.parse(socket.request.headers.cookie);
  const sid = cookies[sessionConfig.name || DEFAULT_SESSION_ID];
  return getSessionIdFromCookie(sid);
};

const getSessionIdFromCookie = (cookieValue: string) => {
  if (cookieValue?.startsWith('s:')) {
    const [id, signature] = cookieValue.slice(2).split('.');
    const expectedSignature = crypto
      .createHmac('sha256', sessionConfig.secret)
      .update(id)
      .digest('base64')
      .replace(/=+$/, '');

    if (expectedSignature === signature) {
      return id;
    }
    throw new WsException('Invalid cookie signature');
  }
  throw new WsException('Invalid cookie format');
};

쿠키를 통해서 가져온 세션 키 값을 통한 인증은 전용 가드에서 진행하도록 했다.

export interface SessionSocket extends Socket {
  session?: User;
}

export interface PassportSession extends SessionData {
  passport: { user: User };
}

@Injectable()
export class WebSocketSessionGuard implements CanActivate {
  constructor(
    @Inject(MEMORY_STORE) private readonly sessionStore: MemoryStore,
  ) {}
  async canActivate(context: ExecutionContext): Promise<boolean> {
    const socket: SessionSocket = context.switchToHttp().getRequest();
    const cookieValue = websocketCookieParse(socket);
    const session = await this.getSession(cookieValue);
    socket.session = session.passport.user;
    return true;
  }

  private getSession(cookieValue: string) {
    return new Promise<PassportSession>((resolve, reject) => {
      this.sessionStore.get(cookieValue, (err: Error, session) => {
        if (err || !session) {
          reject(new WsException('forbidden chat'));
        }
        resolve(session as PassportSession);
      });
    });
  }
}