WebSocket与CORS的本质区别
在web开发中，跨域资源共享（cors）是处理浏览器端http请求跨域访问的常用机制。然而，websocket协议的设计与http请求有所不同，它不依赖于cors。websocket连接的建立过程包含一个http握手阶段，其中客户端会发送一个名为“origin”的http头部。这个“origin”头部是websocket服务器进行安全验证的关键。
理解WebSocket的“Origin”头部
“Origin”头部在WebSocket协议中扮演着重要的安全角色，它指明了发起WebSocket连接的文档的源（协议、域名和端口）。
- 浏览器行为： 当从浏览器环境（如JavaScript）发起WebSocket连接时，浏览器会强制性地在握手请求中包含正确的“Origin”头部，该头部反映了当前页面的源。服务器可以根据这个头部来决定是否允许连接。
-
非浏览器客户端行为： 对于非浏览器客户端（如桌面应用、移动应用中的WebView、命令行工具等），“Origin”头部的行为则不那么统一。它们可能：
- 正确设置“Origin”头部。
- 不设置“Origin”头部。
- 设置一个任意的“Origin”头部。 服务器在处理这类客户端时，需要考虑这些差异。
Go语言WebSocket服务器的Origin验证实践
Go语言在处理WebSocket连接时，通常会使用gorilla/websocket等库。在握手阶段，服务器可以访问到客户端发送的所有HTTP头部，包括“Origin”。通过检查这个头部，服务器可以实现灵活的源验证策略。
以下是一个Go语言WebSocket服务器如何检查并验证“Origin”头部的示例：
package main
import (
"log"
"net/http"
"strings" // 用于字符串操作，如检查子串或前缀
"github.com/gorilla/websocket"
)
// 定义一个WebSocket升级器，允许所有来源进行测试
// 在生产环境中，应限制CheckOrigin函数以增强安全性
var upgrader = websocket.Upgrader{
ReadBufferSize: 1024,
WriteBufferSize: 1024,
CheckOrigin: func(r *http.Request) bool {
// 生产环境中，这里应该进行严格的源验证
// 例如：
// allowedOrigins := []string{"http://localhost:8080", "https://yourdomain.com"}
// origin := r.Header.Get("Origin")
// for _, ao := range allowedOrigins {
// if origin == ao {
// return true
// }
// }
// return false
// 示例：允许来自特定域名的请求
origin := r.Header.Get("Origin")
log.Printf("Received WebSocket connection request from Origin: %s", origin)
// 假设我们只允许来自 localhost 或某个特定 IP 的请求
// 对于 PhoneGap 应用，如果 Origin 是 file:// 或者为空，可能需要特殊处理
if origin == "http://localhost:8080" ||
strings.HasPrefix(origin, "http://192.168.") || // 允许局域网内的特定IP
origin == "" { // 如果某些客户端不发送 Origin 头部，可以考虑允许（不推荐生产环境）
return true
}
// 如果是 PhoneGap 应用，其 Origin 可能是 file://
// 或者在某些 WebView 环境下可能根本不发送 Origin 头部
// 此时，需要根据实际情况决定是否允许
if strings.HasPrefix(origin, "file://") {
log.Printf("Allowing file:// origin for PhoneGap/local development: %s", origin)
return true
}
log.Printf("Rejected WebSocket connection from Origin: %s", origin)
return false // 默认拒绝未知来源
},
}
// WebSocket处理函数
func handleConnections(w http.ResponseWriter, r *http.Request) {
// 尝试将HTTP连接升级为WebSocket连接
conn, err := upgrader.Upgrade(w, r, nil)
if err != nil {
log.Printf("Failed to upgrade to WebSocket: %v", err)
return
}
defer conn.Close() // 确保连接在函数结束时关闭
log.Println("Client Connected")
// 循环读取客户端消息
for {
messageType, message, err := conn.ReadMessage()
if err != nil {
log.Printf("Read error: %v", err)
break
}
log.Printf("Received: %s", message)
// 将收到的消息原样发回客户端
err = conn.WriteMessage(messageType, message)
if err != nil {
log.Printf("Write error: %v", err)
break
}
}
log.Println("Client Disconnected")
}
func main() {
http.HandleFunc("/ws", handleConnections) // 注册WebSocket路由
log.Println("WebSocket server starting on :8080")
err := http.ListenAndServe(":8080", nil)
if err != nil {
log.Fatalf("Server failed to start: %v", err)
}
}注意事项：
立即学习“go语言免费学习笔记（深入）”；
- websocket.Upgrader.CheckOrigin： 这是控制WebSocket连接是否被允许的关键函数。它接收一个*http.Request对象，并返回一个布尔值。如果返回true，则允许升级；如果返回false，则拒绝连接。
- 生产环境安全性： 在生产环境中，CheckOrigin函数绝不能简单地返回true（即允许所有来源）。这会引入严重的安全漏洞，允许任何恶意网站连接到您的WebSocket服务。您应该明确列出允许的“Origin”列表。
- file:// Origin： 对于从本地文件系统加载的PhoneGap应用，其“Origin”头部可能是file://或类似的本地路径。服务器需要明确配置以允许此类Origin，或者如果客户端不发送Origin头部，则需要考虑允许空Origin（需谨慎）。
PhoneGap/WebView客户端的特殊性与故障排查
当使用PhoneGap等基于WebView的框架开发移动应用时，WebSocket连接问题可能更为复杂。
- “Origin”头部的缺失或不一致： PhoneGap应用的HTML文件通常存储在设备的本地文件系统中。在某些WebView实现中，当HTML源自file://协议时，WebView可能不会像标准浏览器那样在WebSocket握手请求中设置“Origin”头部，或者设置了一个不符合预期的值（例如file://）。
- 网络超时： 如果服务器端配置了严格的Origin验证，而PhoneGap客户端发送的Origin不匹配或缺失，服务器会直接拒绝连接，客户端可能会表现为连接超时。
故障排查建议：
-
抓包分析： 这是诊断此类问题的最有效方法。使用网络抓包工具（如Wireshark、tcpdump、Fiddler、Charles Proxy等）捕获PhoneGap应用发出的WebSocket握手请求。
- 检查请求中是否包含“Origin”头部。
- 如果包含，查看其具体值是什么。
- 检查服务器返回的响应，看是否有403 Forbidden或其他拒绝连接的HTTP状态码。
- 临时放宽服务器端验证： 在开发和测试阶段，可以暂时修改Go服务器的CheckOrigin函数，使其允许所有Origin（即return true），或者允许file://以及空Origin。如果在此模式下连接成功，则问题确实出在Origin验证上。
- PhoneGap/WebView配置： 查阅PhoneGap或所用WebView框架的文档，了解是否有关于WebSocket连接和Origin头部设置的特定配置选项。某些框架可能允许您手动设置或模拟Origin头部。
总结
Go语言WebSocket服务器在处理跨域连接时，应重点关注“Origin”头部而非CORS。通过在websocket.Upgrader.CheckOrigin函数中实现严格的Origin验证，可以有效保障WebSocket服务的安全性。对于PhoneGap这类非浏览器客户端，由于其“Origin”头部行为可能不一致，开发者需要通过网络抓包工具进行详细诊断，并相应地调整服务器端的Origin验证逻辑，以确保兼容性和安全性。在生产环境中，务必对允许的Origin进行严格限制，避免潜在的安全风险。
