WebSocket连接时需显式传递user_id，推荐路径参数（如/ws/1001）最轻量可靠；查询参数适合透传临时token；首条消息最灵活但多一次往返且需防超时。
后端无法自动知道你是谁，必须由前端主动传递用户标识，且要确保每次连接都带得上、接得住、不丢失。
WebSocket 连接时怎么传 user_id？
不能依赖 Cookie 或 Session 自动携带（尤其跨域或非浏览器环境），必须显式传。常见方式有三种：
- URL 路径参数：如
ws://api.example.com/ws/1001，后端用@app.websocket("/ws/{user_id}")拿到user_id - 查询参数：如
ws://api.example.com/ws?user_id=1001&token=abc，后端从websocket.query_params.get("user_id")读取 - 连接后首条消息：先
await websocket.accept()，再data = await websocket.receive_json()，要求前端发的首帧是{"user_id": 1001, "token": "..."}
路径参数最轻量、最可靠；查询参数适合需透传 token 的场景；首条消息最灵活但多一次往返，且要防超时或空消息。
为什么 axios + WebSocket 会拿不到 session？
因为 WebSocket 握手请求（Upgrade: websocket）和普通 HTTP 请求走的是两套机制，axios 的 withCredentials: true 对 WebSocket 无效——它只影响后续的 fetch 或 XMLHttpRequest。
立即学习“前端免费学习笔记（深入）”；
前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。
- 前端别指望靠
document.cookie或 session 自动绑定 WebSocket 连接 - Spring Boot 中
HttpSessionHandshakeInterceptor能取到 session，但前提是握手请求同域 + 同 session ID + 浏览器未禁用 third-party cookie - Vue 项目若用 axios 登录后立刻连 ws，大概率 session ID 不一致，导致
session.getAttribute("USER_INFO")为 null
解决办法只有一个：把登录后拿到的 user_id 或 token 存进 localStorage 或 ref，再拼进 WebSocket URL。
FastAPI / Node.js / Spring Boot 怎么存 client 映射？
拿到 user_id 后，得把它和当前 WebSocket 实例绑定，否则发消息时找不到人。关键不是“怎么存”，而是“怎么保证线程/进程安全”：
- FastAPI 单进程：用
dict或ConcurrentDict（如anyio.StrictFIFOLock包裹写操作） - Node.js：
Map足够，但注意webSocket.on("close")里必须delete对应项，否则内存泄漏 - Spring Boot 多实例部署时：不能只用本地
ConcurrentHashMap，得上 Redis +Pub/Sub或分布式锁，否则 A 服务存了 user_id，B 服务收不到广播
别直接用 websocket.client_address 当标识——IP 可能复用（NAT）、可能变（移动网络）、无法区分同一设备多个标签页。
JWT token 放 URL 查询参数安全吗？
不安全，但比不验证强一点。问题在于：
- URL 会被浏览器历史、代理日志、CDN 缓存记录，token 泄露风险高
- 长度受限（部分服务器截断长 URL），且无法刷新
- 正确做法：用查询参数传一个短期有效的
connect_token（由后端签发，5 分钟过期），握手成功后再用该 token 换正式 JWT 或绑定 session
真正敏感的业务（如金融指令），应该在首条消息里用加密 payload 传输用户凭证，并做签名验签——URL 里只放无状态的临时票据。
