WebSocketにおける認証方法について

発端:
FlutterにおいてPlatform: web(Browser)では、WebSocketに追加のヘッダーを付与することができない。

WebSocketChannelのHtmlWebSocketChannelのconnectメソッドにはheaderを指定する箇所がない。
https://github.com/dart-lang/web_socket_channel/issues/156

これは、dart:ioとdart:htmlの実装差異から来るものであり、WebSocketにおいてブラウザ間でheaderの取扱に差異があることに由来するもの。
https://stackoverflow.com/questions/4361173/http-headers-in-websockets-client-api

そもそもブラウザ間でheaderの取扱に差異があるのは、BrowserにおけるWebSocket APIの仕様にheaderを指定する機能がないからである
https://html.spec.whatwg.org/multipage/web-sockets.html#network

browserにおけるWebScoket認証でとりうる方法

1. Cookie
   ブラウザからのWebSocketコネクション確立時にCookieは（他のHTTP通信と同じように）付与される
2. Basic Auth(deprecated)
   ws://username:password@hostname としたときに、自動で Authorization: Bearer base64(username:password) としてくれる

AppSyncのWebSocketではどうやっているの？

https://docs.aws.amazon.com/appsync/latest/devguide/real-time-websocket-client.html#header-parameter-format-based-on-appsync-api-authorization-mode

query部分にTokenを入れている。。

Hasura

WebSocketの通信ではcookieをわたせる
https://hasura.io/docs/latest/graphql/core/databases/postgres/subscriptions/index.html#cookies-and-websockets

ApolloClientはこのように認証情報を渡す
https://hasura.io/learn/graphql/vue/subscriptions/1-subscription/

ApolloClientとHasuraで試してみたところ。。。
接続開始時にConnection Parameterとしてhttp headerにつけていたsecretをやりとりしている