WebSocket Security
В случает REST запросов для авторизации нужно отправить токен авторизации в хедере или в куки. Но в случае вебсокетов возникают проблемы. Во первых веб сокеты с именно браузера (бек-2-бек позволяет добавлять хедеры) не разрешают добавлять кастомные хедеры (можно только указать версию протокола и в нее хаком воткнуть токен). Во вторых вебсокет держит соединение, т.е. если у вас протухнет токен, то соединение все равно останется. Я искал в интернете разные решение и в целом пришел к схеме, которую расскажу ниже. Список источников я уже забыл, но помню что был один из документации по вебсокетам в Spring (Java), а другой вебсокеты в Heroku, которые также подводили меня к этой схеме. Первый вопрос - проверка токена при запросе. Сразу в момент соединения нужно понять стоит ли открывать коннекшен, для этого подходит токен в куках, т.к. первичное соединение идет через HTTP, потом браузер и сервер автоматически переводят соединение в WS, которое уже работает поверх TCP. Если куками пользоват