必须强制使用WSS协议并严格校验证书，因明文ws://易遭中间人攻击；需部署有效SSL证书、启用HSTS、校验Origin头、叠加HMAC签名防篡改重放。

防御中间人攻击（MitM）是 WebSocket 应用安全的首要任务。明文 ws:// 连接极易被监听、篡改或劫持，尤其在公共网络或未加密代理环境下。真正有效的防护不是“多加一层检查”，而是从传输层切断攻击路径。

强制使用 WSS 协议

WSS 是 WebSocket 的加密版本，底层依赖 TLS/SSL，等同于 HTTPS 对 HTTP 的保护。它确保连接建立前完成证书交换与密钥协商，使传输内容无法被解密或篡改。

• 服务端必须部署有效 SSL 证书（推荐 Let’s Encrypt 或商业 CA 签发）
• Nginx/Apache 等反向代理需正确透传 Upgrade 和 Connection 头，并终止 TLS 后以 wss:// 向客户端暴露
• 客户端必须使用 wss:// 开头的 URL，禁止回退到 ws://（可配合 CSP 或 JS 检查拦截）

严格验证服务器证书

仅启用 WSS 不够——若客户端不校验证书有效性，仍可能接受伪造证书，落入中间人陷阱。

WebSocket 8.18.2

WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。

下载

• 浏览器自动执行证书链校验和域名匹配（Subject Alternative Name），开发者无需额外编码
• 原生客户端（如移动端、桌面端）必须启用 TLS 严格模式：禁用证书跳过、忽略 hostname mismatch
• 服务端建议启用 HSTS（HTTP Strict Transport Security）头，强制后续请求走 HTTPS/WSS

握手阶段补充来源可信性校验

TLS 防止传输窃听，但不能阻止合法证书被用于恶意域名。Origin 头校验可作为辅助防线，阻断跨站 WebSocket 劫持。

• 服务端在 Upgrade 前检查 Origin 请求头，只放行白名单域名（如 https://app.example.com）
• 避免使用通配符（*）或宽松匹配（如 *.example.com），防止子域滥用
• 注意：Origin 可被伪造，仅适用于浏览器环境；非浏览器客户端应改用 Token 或 Cookie 验证

敏感操作叠加应用层签名

即使传输加密，若服务端逻辑未校验消息完整性，攻击者仍可能重放或篡改已建立连接中的指令（如转账、权限变更）。

• 对关键业务消息添加 HMAC-SHA256 签名，密钥由认证后会话派生，不硬编码
• 消息体包含时间戳与随机 nonce，服务端校验时效性并防重放
• 避免仅依赖 WebSocket 连接状态做授权——每次敏感操作仍需服务端二次鉴权