secure_link 不能直接用于 WebSocket 全程校验，仅可在握手阶段通过 URL 参数（如 st+md5）做时效性准入控制，成功后需由后端服务实现细粒度鉴权。
nginx 的 secure_link 模块本身不支持 WebSocket 协议，因为它仅工作在 HTTP 请求头和 URL 参数层面，而 WebSocket 握手虽以 HTTP GET 开始，但后续为二进制长连接，secure_link 无法对升级后的连接持续校验。因此，**不能直接用 secure_link 实现 WebSocket 的时间戳校验访问控制**——但可以将其用于 WebSocket 握手阶段的准入控制，作为第一道安全防线。
利用 secure_link 校验 WebSocket 握手请求
WebSocket 连接建立前会发起一次标准 HTTP GET 请求（含 Upgrade: websocket 头），此时 nginx 仍可执行常规 HTTP 模块逻辑。你可以将时间戳 + 签名参数附加在 WebSocket URL 中（如 wss://example.com/ws?st=1717023600&md5=abc123...），并在 nginx 配置中用 secure_link 验证该请求：
- 设置
secure_link $arg_st,$arg_md5;提取时间戳和签名 - 用
secure_link_md5定义密钥和拼接规则，例如：secure_link_md5 "your_secret_key$arg_st"; - 通过
secure_link_expires $arg_st;启用过期检查（要求$arg_st是 Unix 时间戳） - 若校验失败，返回 403；成功则允许进入
proxy_pass到后端 WebSocket 服务
关键配置示例（nginx.conf）
以下是最小可行配置片段，假设后端 WebSocket 服务运行在 127.0.0.1:8080：
WebSocket 8.18.2
下载
WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。
location /ws {
# 提取并校验签名与时间戳
secure_link $arg_md5,$arg_st;
secure_link_md5 "my_websocket_secret$arg_st";
secure_link_expires $arg_st;
<pre class="brush:php;toolbar:false;"># 校验失败时返回 403
if ($secure_link = "") {
return 403;
}
if ($secure_link = "0") {
return 403;
}
# 透传 WebSocket 握手请求
proxy_pass http://127.0.0.1:8080;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;}
客户端生成签名的注意事项
前端或业务系统生成合法 URL 时，需严格遵循服务端约定：
- 时间戳必须是秒级 Unix 时间（非毫秒），且预留合理有效期（如 5 分钟）
- MD5 签名应基于
密钥 + 时间戳原文计算（不加空格、不 Base64），小写十六进制输出 - URL 示例：
wss://example.com/ws?st=1717023600&md5=9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08 - 注意：MD5 不再推荐用于高安全场景，生产环境建议改用 HMAC-SHA256 并配合
secure_link_md5的替代方案（如自定义 Lua 签名校验）
为什么不能依赖 secure_link 做全程保护？
WebSocket 升级成功后，连接脱离 HTTP 生命周期，nginx 不再解析帧内容，secure_link 完全失效。因此：
- 它只保护“连接建立”这一瞬间，不防重放、不防中间人、不防已建立连接的未授权操作
- 真正的权限控制应在业务层实现：例如握手后，后端服务校验 token、用户身份、IP 白名单等
- 建议组合使用：nginx 层做时效性初筛 + 后端服务做细粒度鉴权 + TLS（wss）保障传输加密
