Как защитить частные каналы при использовании socket.io и Laravel Echo?

Question

Вот мой server.js файл:

var app = require('express')(); 
var http = require('http').Server(app); 
var io = require('socket.io')(http); 
var Redis = require('ioredis'); 
var redis = new Redis(); 

http.listen(3000, function(){ 
    console.log('Listening on Port 3000'); 
}); 

redis.psubscribe('*', function(err, count) { 
    console.log(err, count); 
}); 
redis.on('pmessage', function(subscribed, channel, message) { 
    message = JSON.parse(message); 
    io.emit(message.event, channel, message.data); 
}); 

И простое событие:

class FieldWasUpdated implements ShouldBroadcast 
{ 
    use InteractsWithSockets, SerializesModels; 
    public $instance; 
    public $key; 
    public $value; 

    public function __construct($instance, $key, $value) 
    { 
     $this->instance = $instance; 
     $this->key = $key; 
     $this->value = $value; 
    } 

    public function broadcastOn() 
    { 
     return new PrivateChannel("model." . $this->instance->getModelType() . "." . $this->instance->id); 
    } 
} 

Клиент подключается к Socket.io:

Echo = new Echo({ 
    broadcaster: 'socket.io', 
    host: window.location.hostname + ':3000' 
}); 

А потом прослушивает события (это внутри шаблона Blade):

var channel = "model.{{ $instance->getModelType() }}.{{ $instance->id }}"; 
Echo.private(channel) 
    .listen("FieldWasUpdated", function(e) { 
     window.VueBus.$emit("updated", channel, e.key, e.value); 
    }) 
    .listen("FieldBecameDisabled", function(e) { 
     window.VueBus.$emit("disabled", channel, e.key); 
    }); 

Проблема заключается в том, что аутентификация не обрабатывается, любой пользователь может подписаться на эти каналы.

Broadcast::channel("model.announcement.*", function($user, $id) { 
    return false; // this function is not called 
}) 

Вот пример события из консоли разработчика Chrome (WebSocket):

[ 
    "App\\Events\\FieldWasUpdated", 
    "private-model.announcement.2", 
    { 
     "instance": 
     { 
      "type":"ANN_TYPE_MISSED_CALL", 
      "status":"ANN_STATUS_CANCELLED", 
      "name":"1233421", 
      "phone":"+7(222)222-3322", 
      "email":"sdgsg@mail.com", 
      "message":"sdgdsgsdgdfdg", 
      "requirement":null, 
      "web_type":"ANN_WEB_TYPE_UNKNOWN", 
      "url":null, 
      "responsible_id":19, 
      "recommender_id":18 
     }, 
     "key":"message", 
     "value":"sdgdsgsdgdfdg" 
    } 
] 

Также нет /broadcast/auth URL, но BroadcastServiceProvider не имеет вызов Broadcast::routes(); и при загрузке браузера, никаких вызовов до /broadcast/auth.

Answer 1

Документация Laravel подробно рассказывает об этом в главе «Вещание»: https://laravel.com/docs/5.5/broadcasting#presence-channels. Раздел «Разрешающие каналы присутствия» должен быть одинаковым для частных каналов.