WebSocket握手必须校验Sec-WebSocket-Key与Sec-WebSocket-Accept：服务端须将客户端密钥拼接固定GUID后SHA-1哈希再Base64编码生成Accept值，缺一不可，否则即使返回101状态码也会静默失败。
WebSocket 握手必须校验 Sec-WebSocket-Key 和 Sec-WebSocket-Accept
PHP 服务端不能只检查 Upgrade: websocket 就直接返回 101，否则客户端会静默失败。RFC 6455 要求服务端必须对客户端发来的 Sec-WebSocket-Key 值做 SHA-1 + Base64 运算，拼接固定字符串 "258EAFA5-E914-47DA-95CA-C5AB0DC85B11" 后再哈希，结果作为 Sec-WebSocket-Accept 响应头返回。
常见错误是：直接 echo "HTTP/1.1 101 Switching Protocols" 然后写死一个 Accept 值，或漏掉拼接字符串、用错哈希算法（比如用了 md5）。Ratchet 底层已封装该逻辑，但若你手写 socket 服务器（如基于 stream_socket_server），必须手动实现：
function generateAcceptKey($key) {
return base64_encode(sha1($key . '258EAFA5-E914-47DA-95CA-C5AB0DC85B11', true));
}
注意：$key 来自请求头，不能空、不能含非法字符；服务端响应必须包含 Connection: Upgrade 和 Upgrade: websocket，缺一不可。
心跳检测不能只靠 Ping/Pong 帧，得配合应用层定时器
RFC 6455 定义的 Ping（0x9）和 Pong（0xA）帧由协议栈自动处理，但 PHP 的 Ratchet 或 Swoole 并不默认启用它们——它们只负责透传，不会主动发、也不会超时断连。这意味着即使网络中断，连接对象仍处于“打开”状态，onClose 不触发。
立即学习“PHP免费学习笔记（深入）”；
所以真实项目中必须自己加应用层心跳：
- 客户端每 45 秒发一次 JSON 心跳消息，如
{"type":"ping"} - 服务端收到后记录该连接最后活跃时间戳，并在
onMessage中刷新 - 用
tick定时器（如 ReactPHP 的LoopInterface::addPeriodicTimer）每 50 秒扫描所有连接，对超过 60 秒无消息的调用$conn->close()
别依赖 $gateway->pingInterval 这类封装好的配置——它只在 GatewayWorker 等特定框架里有效，Ratchet 原生不支持。手写时，onMessage 里不做时间戳更新，定时器就完全失效。
onClose 不等于 TCP 断开，异常断连需主动探测
PHP WebSocket 服务里，onClose 回调只在收到 FIN 包、或调用 $conn->close() 时触发。但拔网线、进程 kill、防火墙静默丢包等情况，socket 可能长期处于 ESTABLISHED 状态，onClose 永远不执行。
这就导致两个问题：
- 内存泄漏：
$this->clients里存着已失联的ConnectionInterface对象 - 消息堆积：广播时仍尝试向无效连接 send，触发 warning 甚至阻塞
解决办法只有两个：
一是上一节说的「应用层心跳 + 主动 close」；二是对每个连接启用 stream_set_timeout($conn->socket, 30)（仅限原生 socket），但 Ratchet 封装后无法直接访问底层 socket，所以第一种更通用。
另外，别在 onClose 里做耗时操作（如查数据库、发 HTTP 请求），它运行在事件循环中，会拖慢整个服务响应。
Ratchet 的 IoServer 默认不处理 HTTPS/WSS 升级
如果你把 Ratchet 服务跑在 Nginx 后面，且前端用 wss://，那握手阶段的 TLS 解密由 Nginx 完成，Ratchet 收到的是明文 HTTP 请求，此时必须确保 Nginx 正确透传原始 Host 和 Upgrade 头：
location / {
proxy_pass http://localhost:8080;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_set_header Host $host;
}
漏掉 proxy_set_header Connection "upgrade" 是最常见错误，会导致 Ratchet 收不到 Connection: Upgrade，握手失败并返回 400。Ratchet 本身不支持 SSL socket 监听，也不能直接绑定 wss:// 地址——它只管 WebSocket 协议逻辑，TLS 层必须交给反向代理。
调试时用 curl -i -N -H "Upgrade: websocket" -H "Connection: Upgrade" http://localhost:8080 模拟握手，比直接用浏览器更快定位问题。
