Nginx实现真正安全WSS代理需TLS终止、协议透传与后端协同：启用TLSv1.2+强加密套件，显式透传Upgrade/Connection头，禁用缓冲与缓存，并配置长超时及访问控制。
要让 Nginx 为 WebSocket 应用提供真正安全的 HTTPS 代理，核心不是简单加个 ssl，而是构建一条端到端可信、协议不降级、传输不被干扰的 WSS 链路。关键在 TLS 终止 + 协议透传 + 后端协同三者缺一不可。
必须启用 TLS 终止并配置强 SSL 策略
Nginx 必须在 443 端口完成 TLS 握手，把客户端的 wss:// 请求解密后，再以明文 HTTP Upgrade 形式转发给后端。这一步决定了所有 WebSocket 帧是否全程加密。
- 使用有效证书：推荐 Let’s Encrypt 的
fullchain.pem和privkey.pem，路径需 Nginx 可读 - 只启用安全协议：
ssl_protocols TLSv1.2 TLSv1.3，禁用 TLSv1.0 及更早版本 - 选用前向保密套件：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256 - 开启会话复用：
ssl_session_cache shared:SSL:10m和ssl_session_timeout 10m
严格透传 WebSocket 升级头部
WSS 握手失败，90% 出在 Upgrade 头被丢弃或篡改。Nginx 不会自动转发这两个逐跳头，必须显式配置。
-
proxy_http_version 1.1：HTTP/1.0 不支持 Upgrade，缺了直接返回 400 -
proxy_set_header Upgrade $http_upgrade：保留原始值（如websocket或mqtt） -
proxy_set_header Connection "upgrade"：必须是带英文双引号的字面量，不能写成$http_connection - location 匹配要精确，例如
= /ws或/ws/，避免被 rewrite 或其他规则覆盖
关闭缓冲与缓存，保障帧流实时性
WebSocket 是裸 TCP 帧流，任何中间缓存、合并或延迟都会导致粘包、断连或消息错序。
-
proxy_buffering off：禁用响应体缓冲，防止 TEXT/BINARY 帧被合并 - 绝对不用
proxy_cache相关指令：WebSocket 消息不可缓存，启用即断连 -
tcp_nodelay on：绕过 Nagle 算法，小帧（如光标移动、按键事件）立即发出 - 延长超时：
proxy_read_timeout 86400（24 小时），防中间设备误断长连接
补充访问控制与运行时防护
加密通道只是第一道防线，还需防未授权接入、暴力连接和异常消息。
- 用
limit_conn和limit_req控制单 IP 并发连接数与升级请求频次 - 配合
allow/deny限制来源 IP 段（尤其管理类接口） - 后端必须校验 Token（推荐 Authorization Bearer 或 Secure+HttpOnly Cookie），不能只靠 URL 参数
- 每条消息做输入验证：UTF-8 合法性、JSON 结构、帧长度限制（建议 ≤1MB）、敏感内容转义
