WebSocket DDoS防御需服务端分层节制、边缘过滤与实时监控：握手阶段校验Origin、JWT及子协议；连接后限流、设ping超时、强制认证帧；边缘用Nginx/CDN限连；全程指标监控与自动响应。
WebSocket 本身不设全局连接数限制，但 DDoS 攻击常通过大量伪造或滥用连接耗尽服务端资源。防御不能只靠前端“拦”，关键在服务端分层节制 + 边缘过滤 + 持续监控。
服务端握手阶段强校验
所有 WebSocket 连接始于 HTTP Upgrade 请求，这是第一道防线：
- 严格校验 Origin 头，只放行可信域名（如
https://app.example.com），拒绝空值、非 HTTPS 或未知来源 - 检查自定义 header（如
X-Auth-Token）或携带的短期 JWT，验证签名、时效与权限范围 - 禁止在 URL 查询参数中传 token（如
wss://api/ws?token=xxx），防止被日志、代理或 Referer 泄露 - 启用 Sec-WebSocket-Protocol 校验，只接受预注册子协议（如
json-v1），过滤非法客户端工具
连接生命周期资源节制
每个连接都是系统资源，必须从建立起就绑定约束：
- 为每个新连接分配独立滑动窗口限流器（如每秒最多 5 条消息），超限直接关闭，避免共享计数器误伤
- 设置 ping/pong 超时（建议 30～45 秒），未响应即断开，清理“僵尸连接”防内存耗尽
- 连接建立后立即要求客户端发送认证帧（如
{"type":"auth","token":"..."}），验证通过才开放业务通道 - 服务端启动前调高系统文件描述符上限（如
ulimit -n 65536），避免内核级EMFILE错误阻塞合法连接
边缘层前置过滤与分流
把清洗压力从应用服务器卸载到更外层：
立即学习“前端免费学习笔记（深入）”；
- Nginx 配置
limit_conn按真实客户端 IP 限并发连接数，配合map提取经 CDN 转发后的源地址 - 在 Cloudflare 或 API 网关开启 Bot Management，拦截高频短连、异常 TLS 指纹、恶意 User-Agent 流量
- 反向代理层拒绝
Upgrade请求中无Connection: Upgrade或Upgrade: websocket的非法请求 - 对非生产环境（如测试域）启用更严的速率熔断策略，防止配置误漏扩大攻击面
实时监控与弹性响应
防御不是一次配置，而是可观测闭环：
- 采集每分钟连接数、握手失败率、平均 ping 延迟、单连接消息频次等指标，设置动态阈值告警
- 发现某 IP 或某子协议名突发连接激增时，自动触发临时封禁或降级策略（如只允许心跳，禁业务帧）
- 记录异常行为上下文（Origin、User-Agent、TLS 版本、首次消息内容），用于事后溯源与规则优化
- 定期压测验证限流与清理逻辑有效性，避免配置失效或版本升级导致策略绕过
