WebSocket 安全手册：从实验到防御实践
💡
原文中文，约6600字，阅读约需16分钟。
📝
内容提要
WebSocket 是一种支持实时通信的浏览器与服务器长连接，但存在安全隐患，如同源限制缺失、CSRF、XSS 和信息泄露等。防御措施包括加密通道、来源验证、会话隔离、消息过滤和限流等。只要安全策略得当，WebSocket 仍然是一种强大的实时通信技术。
🎯
关键要点
- WebSocket 是浏览器与服务器之间的长连接通道，支持实时通信。
- WebSocket 的基本原理是基于 HTTP 协议的升级，建立双向通信。
- WebSocket 的特点包括持久连接、数据轻量和跨域限制弱。
- WebSocket 存在安全隐患，如无同源限制、CSRF 攻击、XSS 注入、信息泄露和拒绝服务攻击。
- 防御措施包括强制使用 WSS 加密通道、验证来源、会话隔离与 Token 鉴权、消息内容过滤与转义、心跳与超时机制、限流与并发控制、权限与命令白名单，以及日志与安全审计。
- 开发者常常低估 WebSocket 的安全风险，认为其只适用于内网，实际上内网同样需要安全策略。
- 总结：WebSocket 提升了交互体验，但必须采取基本安全措施以防止安全隐患。
➡️
