WebSocket连接URL带参数必须使用标准查询字符串格式，即ws://或wss://后接?k1=v1&k2=v2；不能用#、/或第二参数传参，且需前端encodeURIComponent编码、后端正确解析。
WebSocket连接URL带参数，必须写成标准HTTP/HTTPS查询字符串格式，即 ws://host:port/path?k1=v1&k2=v2 或 wss://...；不能省略?，也不能用#或/替代。
客户端构造URL时的常见错误
浏览器原生 WebSocket 构造函数只接受两个参数：url 和可选的 protocols。传参唯一合法位置就是 URL 的查询字符串部分：
- ✅ 正确：
new WebSocket("wss://api.example.com/chat?token=abc123&room=general") - ❌ 错误：
new WebSocket("wss://api.example.com/chat", { token: "abc123" })—— 第二个参数是子协议数组，不是配置对象 - ❌ 错误：
new WebSocket("wss://api.example.com/chat#token=abc123")——#是 fragment，服务端完全收不到 - ❌ 错误：
new WebSocket("wss://api.example.com/chat/token=abc123")—— 这会被解析为路径，不是 query 参数
后端如何安全获取 query 参数（Spring Boot @ServerEndpoint）
使用 @ServerEndpoint 注解时，@OnOpen 方法可通过 Session 对象拿到原始查询串，但注意：session.getQueryString() 返回的是完整字符串（如 "token=abc123&room=general"），需手动解析；而 @PathParam 只对路径参数（如 /chat/{id}）有效，对 query 参数无效。
WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。
- 推荐方式：用
URLDecoder.decode(session.getQueryString(), "UTF-8")后按&和=拆分，或引入org.springframework.util.StringUtils的parseQuery工具方法 - 注意编码：中文或特殊字符（如空格、+、/）必须在前端用
encodeURIComponent编码，否则后端收到乱码 - 敏感参数（如 token）不建议走 query —— 会暴露在 Nginx 日志、浏览器地址栏、代理缓存中；生产环境优先改用握手后首帧认证或中间件拦截
Netty / 自定义服务器里读取 query 参数的时机
Netty 中 query 参数只能在 HTTP 握手阶段（即升级请求到达时）读取，一旦完成 WebSocket 协议切换，后续帧就不再携带 URL 信息。所以必须在 ChannelInboundHandler 处理 FullHttpRequest 时解析：
- 关键点：
req.uri()返回完整 URI，含 path + query；用new QueryStringDecoder(req.uri())可直接提取键值对 - 别在
WebSocketFrame回调里找 query —— 此时已无 URI 上下文，channel.attr()也早该在握手 handler 里存好了 - 若用
WebSocketServerProtocolHandler，它默认会剥离 query 并重写 URI，导致后续 handler 拿不到；需在它之前插入自定义 handler 提前读取并存入channel.attr()
为什么不能用 Cookie 或 Header 传参？
浏览器原生 WebSocket 构造函数禁止设置自定义请求头（如 Authorization），也无法控制 Cookie 发送逻辑（依赖当前域同源策略和 withCredentials 设置，但后者仅影响初始 HTTP 请求，且无法指定具体 Cookie 名）。
- Cookie 方式不可靠：浏览器可能因
SameSite策略或第三方上下文限制不发送 - Header 方式不可行：JS 侧无 API 支持；只有 Node.js 的
ws库或 Java 的OkHttp客户端才允许传自定义 header - 真正可控、跨浏览器一致的方式只剩 query 字符串 —— 但它天生不保密，别放密码、JWT、长期 token
query 参数看着简单，但实际落地时最容易忽略编码一致性、日志脱敏、中间件截断（比如某些负载均衡器会 strip query）、以及和子协议字段的混淆。真要传认证凭据，别贪图“一行 URL 解决”，老实用握手后第一帧 + 服务端超时校验更稳妥。
