WebSocket 是一种双向通信协议，由于其长连接特性，面临着不同于 HTTP 的安全挑战。保护 WebSocket 服务不受攻击至关重要，尤其是在处理敏感数据时。以下是确保 WebSocket 服务安全的几个重要方面：
18.1 加密通信
18.1.1 使用 WSS（WebSocket Secure）
为了防止数据在传输过程中被窃取或篡改，WebSocket 通信应该通过加密连接进行。与 HTTPS 相似，WSS 是 WebSocket 的加密版本，它使用 TLS（传输层安全协议）进行加密。使用 WSS 可以有效防止中间人攻击（MITM）。
启用 WSS 示例：
- Python WebSocket 服务器（使用
websockets库）启用 WSS：
import asyncio
import websockets
import ssl
# SSL Context
ssl_context = ssl.create_default_context(ssl.Purpose.CLIENT_AUTH)
ssl_context.load_cert_chain(certfile="server.crt", keyfile="server.key")
# WebSocket Server
async def handler(websocket, path):
await websocket.send("Hello, secure WebSocket!")
start_server = websockets.serve(handler, "localhost", 8765, ssl=ssl_context)
asyncio.get_event_loop().run_until_complete(start_server)
asyncio.get_event_loop().run_forever()在这个示例中，ssl.create_default_context() 用于加载证书并创建安全的 SSL/TLS 连接。
18.1.2 强制 HTTPS/WSS
如果 WebSocket 连接是通过浏览器发起的，建议强制客户端只能使用 HTTPS/WSS 协议，而不是 HTTP/WS。许多现代浏览器会将 HTTP 协议视为不安全，尤其是在通过 HTTP 请求敏感数据时。
18.2 身份验证与授权
18.2.1 Token 认证
为了保护 WebSocket 服务，必须确保每个连接的客户端是合法的。这通常通过身份验证令牌（Token）来实现。在每个 WebSocket 连接建立时，可以要求客户端提供一个身份验证 Token（如 JWT），以验证其合法性。
JWT 认证示例：
- WebSocket 服务器（Python 端）：
import websockets
import asyncio
import jwt
from websockets.exceptions import InvalidState
# 验证 Token
def verify_token(token):
try:
# 解码并验证 JWT
decoded = jwt.decode(token, "secret", algorithms=["HS256"])
return decoded
except jwt.InvalidTokenError:
raise InvalidState("Invalid Token")
# WebSocket 处理函数
async def handler(websocket, path):
token = websocket.request_headers.get('Authorization')
if token:
try:
# 去除 "Bearer " 部分
token = token.replace('Bearer ', '')
decoded_data = verify_token(token)
await websocket.send(f"Hello {decoded_data['username']}!")
except InvalidState:
await websocket.send("Invalid Token!")
await websocket.close()
else:
await websocket.send("Authorization header missing!")
await websocket.close()
# 启动 WebSocket 服务
start_server = websockets.serve(handler, "localhost", 8765)
asyncio.get_event_loop().run_until_complete(start_server)
asyncio.get_event_loop().run_forever()- 在客户端连接时，需要发送正确的 Token：
const socket = new WebSocket('wss://localhost:8765', {
headers: {
Authorization: 'Bearer <your-jwt-token>'
}
});这样，服务端可以验证每个连接请求，确保只有通过身份验证的客户端才能连接。
18.2.2 客户端认证
客户端认证不仅限于通过 Token，还可以通过其他方式进行。例如，使用用户名和密码验证，或者基于 OAuth 的授权方式。在敏感信息的传输中，确保身份验证是保护数据隐私的关键。
18.3 防止 DoS 和 DDoS 攻击
WebSocket 的长连接特性意味着它容易受到 拒绝服务（DoS） 或 分布式拒绝服务（DDoS） 攻击。攻击者可能通过建立大量的 WebSocket 连接，导致服务端资源耗尽。
18.3.1 限制连接数
可以限制每个客户端或每个 IP 地址的最大连接数，避免攻击者通过创建大量连接来消耗服务器资源。
限制连接数示例：
在 WebSocket 服务器中，可以通过记录每个客户端的连接数量，来限制每个 IP 的最大连接数。
18.3.2 防火墙与反向代理
- 使用 反向代理（如 Nginx 或 HAProxy）来处理 WebSocket 流量，可以有效隔离外部攻击，并通过设置限速、黑名单等策略增强安全性。
- 配置 防火墙，只允许合法的 IP 地址访问 WebSocket 服务。
18.4 防止跨站脚本攻击（XSS）
WebSocket 在数据传输过程中本身并不会直接导致 XSS 攻击，但它可能被恶意脚本利用来进行攻击。为了避免 XSS 攻击，可以在 WebSocket 服务端和客户端都进行数据验证和清理。
18.4.1 输入验证与清理
- 服务端：验证所有从客户端接收到的数据，避免执行任何恶意脚本。可以通过使用库（如 Python 的
html模块）对传入数据进行转义。 - 客户端：确保传入的数据进行适当的验证和清理，避免未验证的脚本在客户端执行。
18.4.2 Content Security Policy（CSP）
通过设置 CSP，避免 WebSocket 数据传输中的恶意脚本注入。CSP 可以限制页面加载的资源来源，防止潜在的恶意脚本加载。
18.5 数据完整性保护
18.5.1 校验和与消息签名
为了确保 WebSocket 消息在传输过程中不被篡改，可以使用哈希校验或消息签名来保护数据完整性。
- 在服务端和客户端之间建立密钥并签名每条消息。接收方通过验证签名来检查数据是否被篡改。
18.6 防止跨站请求伪造（CSRF）
虽然 WebSocket 本身不易受到传统的 CSRF 攻击（由于它不依赖于浏览器的 cookies），但它可能通过其他攻击渠道受到利用。可以通过采用 JWT 等安全措施来防止 CSRF 攻击。
18.7 安全 WebSocket 示例
- 前端（JavaScript）： 在客户端连接时，使用加密连接
wss和带有验证的请求头，确保数据传输安全。
const socket = new WebSocket('wss://example.com/socket', {
headers: {
Authorization: 'Bearer <jwt-token>'
}
});
socket.onmessage = (event) => {
console.log('Message from server: ', event.data);
};
socket.onerror = (error) => {
console.error('WebSocket Error: ', error);
};- 后端（Python）： 使用
websockets库处理 WebSocket 连接，并验证身份 Token。
import websockets
import asyncio
import jwt
async def handler(websocket, path):
token = websocket.request_headers.get('Authorization')
if token:
token = token.replace('Bearer ', '')
try:
decoded = jwt.decode(token, 'secret', algorithms=['HS256'])
await websocket.send(f"Hello {decoded['username']}!")
except jwt.ExpiredSignatureError:
await websocket.send("Token expired!")
await websocket.close()
except jwt.InvalidTokenError:
await websocket.send("Invalid token!")
await websocket.close()
start_server = websockets.serve(handler, 'localhost', 8765)
asyncio.get_event_loop().run_until_complete(start_server)
asyncio.get_event_loop().run_forever()总结：
WebSocket 的安全性是多方面的，涉及数据加密、身份验证、连接控制、防止 DoS 攻击、数据完整性保护等。通过加密通信（WSS）、Token 认证、反向代理和防火墙策略等，可以有效保护 WebSocket 服务免受攻击，确保数据安全。
下篇文章我们了解 WebSocket 的错误处理与恢复机制！