Понял, спасибо) давненько писали чат на сокет.ио как раз, одна из прикольных проблем была как раз верификация. Изначально тоже делали на query, и заголовках, но столкнулись, что сервер их в упор не видит при подключении через транспорт ws, однако хорошо видел через pooling.
Надо пожалуй почитать, может уже что-то изменилось)