WebSocket身份鉴权应优先在连接建立后立即发送认证消息，而非滥用URL参数或Sec-WebSocket-Protocol字段；前者语义清晰、可加密、支持刷新与审计，后者违反RFC规范且存在安全与兼容性风险。
WebSocket 本身不支持传统 HTTP 的 URL 查询参数（如 ?token=xxx）在连接建立后“动态传参”，但可以在 发起连接时通过 URL 附带初始参数，而 Sec-WebSocket-Protocol 是用于子协议协商的字段，**不是为身份鉴权设计的**，强行用它传 token 存在安全与语义风险。真正可靠的身份鉴权应放在握手后的首条消息或服务端 Session 绑定环节。
URL 传参：仅限连接初始化，且需服务端配合解析
WebSocket 构造函数接受一个字符串 URL，你可以像这样带上查询参数：
const ws = new WebSocket("wss://example.com/chat?userId=123&token=abc123");
⚠️ 注意事项：
- 浏览器会把整个 URL（含 query）发给服务端，在
Upgrade请求的GET行中可见，所以 不能传敏感凭证（如密码、长期 token），适合传临时 ID、设备标识、短期一次性 ticket 等。 - Node.js 的
ws库可通过req.url获取原始 URL 并解析 query：
（示例）
const url = require('url');<br>wsServer.on('connection', (socket, req) => {<br> const { query } = url.parse(req.url, true);<br> console.log(query.userId, query.token); // ✅ 可取到 - Nginx 或 CDN 可能默认 strip query string，需确认代理配置是否透传
Upgrade请求的完整 URL。
Sec-WebSocket-Protocol：是子协议协商字段，不是鉴权通道
该 header 用于客户端声明希望使用的应用层子协议（如 "chat", "json"），服务端从中选择一个返回。规范定义它必须是注册/预定义的协议名，不应塞入 token 或用户信息。
立即学习“Java免费学习笔记（深入）”；
错误用法（❌ 不推荐）：
const ws = new WebSocket("wss://example.com/", ["auth-v1:eyJhb..."]);
问题在于：
- 违反 RFC 6455 对
Sec-WebSocket-Protocol的语义约束（应为协议标识符，非载荷容器）； - 长度受限（部分中间件截断长 header）；
- 无法加密，明文暴露在握手请求中；
- 服务端校验逻辑复杂，且无法复用现有 JWT 解析库。
推荐的身份鉴权方案：连接后立即发认证消息
最通用、安全、可扩展的做法是：WebSocket 连接建立成功后，客户端立刻发送一条结构化认证消息（如 JSON），服务端验证通过才允许后续通信。
示例流程：
- 前端：
const ws = new WebSocket("wss://example.com/");<br>ws.onopen = () => {<br> ws.send(JSON.stringify({<br> type: "auth",<br> payload: { token: "eyJhbGciOi..." }<br> }));<br>};
- 服务端（以 ws 库为例）：
ws.on('message', async (data) => {<br> const msg = JSON.parse(data.toString());<br> if (msg.type === 'auth') {<br> const valid = await verifyToken(msg.payload.token);<br> if (valid) {<br> ws.isAuthorized = true;<br> ws.userId = valid.userId;<br> } else {<br> ws.close(4001, 'Unauthorized');<br> }<br> }<br>});
✅ 优势：语义清晰、可加密传输、支持刷新 token、便于审计和限流。
进阶建议：结合 Cookie 或 TLS 客户端证书
如果 WebSocket 与主站同域，且登录态已存在（如 Express + session），服务端可直接从 req.headers.cookie 中读取 session ID，关联已有用户上下文，无需额外传参。
对于高安全场景（如金融后台），可启用 TLS 客户端证书认证，在 WebSocket 握手前由 HTTPS 层完成双向证书校验，此时 WebSocket 连接天然可信。
