我正在尝试建立一个聊天服务器，我的思路是正确的：
我有一个php文件来生成一个验证令牌，我有一个服务器来处理消息，如果令牌是有效的。
但我有点困惑。我想验证用户1和用户2是否在同一个群聊中。如果没有，那么我想否认这个信息：就像在facebook上一样，如果一个人没有被添加为好友，你就不能给他发信息。
服务器文件：

var app = require('express')(); // app
var server = require('http').Server(app); // on http create server
var io = require('socket.io')(server);
var socketioJwt   = require("socketio-jwt"); // JWT for authentication

var chatRooms = [];

io.sockets.on('connection', socketioJwt.authorize({
    secret: 'xxx',
    timeout: 2000
})).on('authenticated', function(socket) {

    //this socket is authenticated, we are good to handle more events from it.
    console.log('User connected and authenticated (' + socket.decoded_token.nickName + ' (' + socket.decoded_token.userId + '))');

    socket.on('disconnect', function(){
        console.log('User disconnected (' + socket.decoded_token.nickName + ' (' + socket.decoded_token.userId + '))');
    });

    socket.on('subscribe', function() { 
        socket.join(socket.decoded_token.userId); 
        console.log('subscribed ');
    });

    socket.on('unsubscribe', function() {  
        socket.leave(userId); 
    });

    socket.on('send', function(data) {
        var messageData = {
            "userId": socket.decoded_token.userId,
            "toUserId": data.toUserId,
            "chatId": data.chatId,
            "users": [socket.decoded_token.userId, data.toUserId],
            "message": data.message
        };
        io.sockets.in(data.toUserId).emit('message', messageData);
        io.sockets.in(socket.decoded_token.userId).emit('message', messageData);
        console.log('msg sent');

    });
});

server.listen(3000, function(){
    console.log('listening on *:3000');
});

我应该在服务器文件中实现mysql数据库检查，还是应该使用我不知道的更多令牌？或者你觉得呢？有没有一个共同的方法来验证？
我想将消息保存到我的数据库中，因此每当用户发送消息时，它都会执行两项操作：
它调用一个php文件来验证user1和user2是否是朋友，如果是，则将消息保存在数据库中
它将消息发送到我的服务器并实时传递给用户2(我也需要检查一下这里的友谊）
实际上我不知道怎么同步
验证
保存到数据库
实时发送
我读过有关这方面的文章和博客，但没有找到解决办法。