WebSocket 是什么？

WebSocket 是一种网络通信协议，它提供了浏览器和服务器之间的全双工通信能力。与传统的HTTP请求不同，WebSocket 允许服务器主动向客户端推送数据，而不需要客户端发起请求。这种特性使得 WebSocket 非常适合实现实时应用，如在线聊天、游戏、实时数据更新等。

工作原理

WebSocket 协议在 OSI 模型的应用层工作，它通过 TCP 连接建立一个持久的通信通道。WebSocket 连接的建立始于一个 HTTP 握手过程，这个过程将普通的 HTTP 请求升级到 WebSocket 连接。一旦建立，这个连接可以用于双向数据传输，直到连接被明确关闭。

建立连接

WebSocket 连接的建立遵循以下步骤：

  1. 客户端发起握手请求，这是一个普通的 HTTP 请求，但头部包含特殊的字段，如 Upgrade 和 Sec-WebSocket-Version，表明客户端希望升级到 WebSocket 协议。
  2. 服务器响应这个请求，如果同意升级，它的响应将包含 Upgrade: websocket 和 Sec-WebSocket-Accept 头部，后者是一个特定的值，用于验证握手过程的安全性。
  3. 客户端验证服务器的响应，如果验证通过，它会关闭原来的 HTTP 连接并打开一个新的 WebSocket 连接。

数据传输

一旦 WebSocket 连接建立，客户端和服务器就可以通过这个连接发送和接收数据。WebSocket 协议定义了几种不同类型的数据帧，用于传输文本、二进制数据以及控制信息（如关闭连接）。

关闭连接

WebSocket 连接可以通过发送一个关闭帧来关闭。在关闭之前，双方可以发送任意数量的数据帧。关闭连接时，可以包含一个状态码和一个可选的关闭原因。

WebSocket API

浏览器提供了 WebSocket API，允许开发者在 JavaScript 中创建和管理 WebSocket 连接。这个 API 包括创建连接、发送消息、接收消息和处理错误和关闭事件的方法。

安全性

为了确保数据的安全性，WebSocket 协议有一个加密版本称为 WebSocket Secure (wss://)，它使用了 TLS/SSL 来加密通信内容。这可以防止数据在传输过程中被窃听或篡改。

优点

  • 实时性：WebSocket 提供了实时的双向通信能力，这对于需要快速响应的应用非常重要。
  • 低延迟：由于建立了持久的连接，数据可以在连接上实时传输，减少了传统的请求/响应模式中的延迟。
  • 减少开销：WebSocket 在建立连接后，数据传输不需要携带 HTTP 头部信息，这减少了数据的大小，提高了传输效率。
  • 广泛的浏览器支持：现代浏览器普遍支持 WebSocket，这使得开发者可以为大多数用户群体提供实时功能。

缺点

  • 安全性：虽然有 wss:// 版本，但在非加密环境下使用 WebSocket 可能会面临中间人攻击的风险。
  • 兼容性：在某些受限的网络环境中，WebSocket 可能不可用，需要开发者提供备选方案。
  • 服务器资源：由于 WebSocket 维护的是长连接，服务器需要为每个连接分配资源，这可能导致服务器端资源消耗增加。

WebSocket 是现代 Web 应用中实现实时功能的关键技术之一，它的设计使得开发者能够创建更加动态和交互性强的用户体验。

WebSocket Secure (wss://)与普通的ws://有什么区别？

WebSocket Secure (wss://) 和普通的 WebSocket (ws://) 主要区别在于它们所使用的通信协议和数据传输的安全性。

  1. 数据加密：
    • wss://：这是WebSocket的加密版本，它在WebSocket连接上使用了传输层安全性协议（TLS）。TLS是一种安全协议，可以为数据传输提供端到端的加密、身份验证和数据完整性保护。这意味着通过wss://传输的所有数据在客户端和服务器之间传输时都会被加密，从而防止了中间人攻击和数据窃听。
    • ws://：这是WebSocket的非加密版本，它仅使用HTTP协议来建立和维护连接。这意味着通过ws://传输的数据在客户端和服务器之间传输时不会被加密，可能会被任何能够监听网络流量的第三方轻易读取或篡改。
  2. 端口号：
    • wss://：通常使用端口443，这是HTTPS的默认端口，也是TLS加密通信的标准端口。
    • ws://：通常使用端口80，这是HTTP的默认端口，用于非加密的网络通信。
  3. 浏览器支持：
    • wss://：由于使用了TLS，wss://连接通常需要服务器拥有有效的SSL证书，并且浏览器会验证证书的有效性。如果证书无效或不可信，浏览器可能会阻止连接或向用户显示警告。
    • ws://：由于不涉及加密，ws://连接不需要SSL证书，但这也意味着它更容易受到中间人攻击。
  4. 安全性：
    • wss://：提供了更高的安全性，适用于需要保护数据隐私和完整性的应用场景，如在线支付、敏感信息传输等。
    • ws://：虽然在某些情况下（如在受信任的网络环境中）可以使用，但在公共网络中使用ws://可能会使数据面临被窃取或篡改的风险。

总的来说，wss://提供了比ws://更强的数据安全性，因此在大多数需要安全通信的场景中，推荐使用wss://。

如果确保安全性

在实时通信系统中，安全性是一个不可忽视的关键因素。我们的WebSocket服务器和前端页面采取了以下措施来确保数据传输的安全性和完整性：

  • 使用wss（WebSocket Secure）：通过在WebSocket连接前加上’s’，我们启用了WebSocket的加密版本，确保所有传输的数据都经过SSL/TLS加密，从而防止中间人攻击和数据窃听。
  • 完美前向保密（Perfect Forward Secrecy, PFS）：我们的服务器使用了现代的TLS协议和椭圆曲线加密算法，以实现PFS，这确保即使服务器的私钥被泄露，之前的通信记录也无法被解密。
  • 定期更新密钥和证书：为了提高安全性，服务器的TLS密钥和证书会定期更新，以减少密钥被破解的风险。
  • 实施严格的Origin检查：服务器端在握手过程中实施了严格的Origin检查，只允许来自可信域的WebSocket连接，从而防止跨域攻击。
  • 防止重放攻击：通过在WebSocket握手中加入时间戳和/或随机数，我们能够验证请求的新鲜性，防止重放攻击。
  • 客户端身份验证：为了进一步增强安全性，客户端在建立WebSocket连接时需要进行身份验证，这可以通过令牌、OAuth或会话Cookie等方式实现。