如何保护Redis＆Socket.IO实时服务器，以便只有经过身份验证的用户才能收听？

Question

我正在构建一个具有聊天功能的网络应用。我使用Laravel 5.4作为后端，Angular 4作为前端。

一切正常（意味着我可以播放和接收），但我不确定如何保护它。聊天将始终是1比1，所以它是私人的，必须是安全的。每个聊天室都有一个唯一的ID，但有人仍然可以收听。

目前，当我从我的前端向我的API发出请求时，我正在使用JWT进行身份验证，但我不确定是否可以为此实现类似的功能。我知道我可以使用query选项从前端传递令牌，但我不确定如何解析它，我也不确定如何验证它确实属于试图访问聊天的用户（我应该请求API在server.js中验证？这看起来效率不高。将令牌的用户ID与将在数据中传递的用户ID进行比较是否足够好？）

如果有人有任何建议或知道更好的方法，那将会非常有用

发布新消息时从Laravel发起的事件

class NewMessage implements ShouldBroadcast
{
    use Dispatchable, InteractsWithSockets, SerializesModels;

    public $data;
    /**
     * Create a new event instance.
     *
     * @return void
     */
    public function __construct()
    {
        $this->data = array(
            'message'=> 'hi'
        );
    }

    /**
     * Get the channels the event should broadcast on.
     *
     * @return Channel|array
     */
    public function broadcastOn()
    {
        return new PrivateChannel('chat');
    }

}

server.js（node.js）

var app = require('express')();
var http = require('http').Server(app);
var io = require('socket.io')(http);
var Redis = require('ioredis');
var redis = new Redis();

redis.psubscribe('private-chat', function(err, count) {
    console.log('psubscribe');
});


redis.on('pmessage', function(subscribed, channel, message) {
    console.log('pmessage', subscribed, channel, message);
    message = JSON.parse(message);
    io.emit(channel + ':' + message.event, message.data);
});

http.listen(3000, function(){
    console.log('Listening on Port 3000');
});

前端组件

socket: io.Socket;
this.socket = io.connect("http://webapp.test:3000",  { query: this.token });
this.socket.on("private-chat:App\Events\NewMessage", (data) =>
{
  console.log("Data", data);
});