WebSocket跨域本质是服务端是否校验并接受Origin头，CORS响应头对其无效；需在握手阶段（101响应）显式认可Origin，Django用AllowedHostsOriginValidator，Spring Boot用setAllowedOrigins()，Nginx代理须透传Upgrade和Connection头。
WebSocket跨域问题不是“能不能连”，而是“浏览器在握手阶段要不要放行”——关键看服务端是否校验并接受 Origin 头。不处理，new WebSocket('wss://api.example.com') 会直接报 Error during WebSocket handshake: Unexpected response code: 403 或静默失败。
为什么 CORS 配置对 WebSocket 不完全适用
HTTP 的 Access-Control-Allow-Origin 响应头对 WebSocket 握手无效。WebSocket 握手是 HTTP Upgrade 请求，浏览器只认服务端是否在 101 响应中隐式“认可”了 Origin，而不是靠 CORS 头。很多开发者照搬 HTTP CORS 配置（比如只加 CORS_ALLOWED_ORIGINS），结果前端依然连不上。
- django-cors-headers 默认不拦截 WebSocket 路由，除非你显式把路由路径加入
CORS_URL_REGEX - Spring Boot 的
setAllowedOrigins()必须调用，否则默认只允许同源；设成["*"]在生产环境不安全，且 Spring 5.3+ 已废弃该写法 - Node.js 的
ws库不会自动读取Access-Control-Allow-Origin，必须手动比对req.headers.origin并决定是否调用next()
Django 中正确启用 WebSocket 跨域
仅靠 corsheaders 中间件不够，它不参与 WebSocket 协议升级流程。真正起作用的是 Django Channels 的 AllowedHostsOriginValidator 或自定义验证逻辑。
- 确保
ASGI_APPLICATION指向正确的 routing 模块 - 在
routing.py中包装 consumer：from channels.security.websocket import AllowedHostsOriginValidator from channels.auth import AuthMiddlewareStack from channels.routing import ProtocolTypeRouter, URLRouter application = ProtocolTypeRouter({ "websocket": AllowedHostsOriginValidator( AuthMiddlewareStack(URLRouter([...])) ), }) - 若需更细粒度控制（如按路径或用户动态放行），替换为自定义 validator，检查
scope["headers"]中的b'origin' -
CORS_ALLOWED_ORIGINS仍需保留——它对 HTTP 轮询 fallback、Django Admin 等页面有用，但不直接影响 WebSocket 连接成败
Spring Boot 设置 allowedOrigins 的坑
Spring 的 setAllowedOrigins() 是唯一生效的跨域开关，但它有硬性限制：不能混用协议或带通配符和凭证（withCredentials）。
立即学习“前端免费学习笔记（深入）”；
- 错误写法：
registry.addHandler(...).setAllowedOrigins("*")→ Spring 5.3+ 报编译错误 - 正确写法（开发）：
setAllowedOrigins("http://localhost:3000", "https://app.example.com") - 若前端启用了
withCredentials: true，后端必须指定具体域名，且不能用"*"，否则浏览器拒绝连接 - 注意：STOMP 和原生 WebSocket 共享同一套配置，但 STOMP 客户端（如
@stomp/stompjs）可能额外校验Access-Control-Allow-Credentials头，需配合setAllowCredentials(true)
Nginx 反向代理绕过浏览器跨域检查
当无法修改后端代码，或需统一管控多个 WebSocket 服务时，Nginx 是最稳定的选择。关键是两个头不能漏：Upgrade 和 Connection。
- 配置中必须写
proxy_http_version 1.1，HTTP/1.0 不支持 Upgrade -
proxy_set_header Upgrade $http_upgrade—— 把前端传来的Upgrade: websocket透传过去 -
proxy_set_header Connection "Upgrade"—— 注意双引号，值必须是字面量"Upgrade"，不能是变量 - 避免使用
proxy_pass http://backend后加斜杠（如http://backend/），会导致路径重写异常，WebSocket 路径错乱
真正容易被忽略的是：Nginx 本身不校验 Origin，它只是透传。所以如果后端仍有 Origin 校验逻辑，前端 Origin 和后端白名单仍需匹配——代理只是消除了“跨域”表象，没绕过服务端安全策略。
