HTTP与WebSocket协同工作实现实时数据传输
- 初始连接：
- Web应用首先通过HTTP协议发起请求，这是因为HTTP是广泛支持且通用的网络协议。浏览器发送一个HTTP请求到服务器，例如向服务器请求一个包含实时通信功能的网页。这个请求遵循HTTP的标准格式，包含请求行（如
GET /index.html HTTP/1.1）、请求头（如Host: example.com等）。
- 服务器以HTTP响应返回网页内容，其中可能包含用于初始化WebSocket连接的JavaScript代码。
- WebSocket连接升级：
- 网页中的JavaScript代码使用
WebSocket API发起WebSocket连接请求。这个请求使用HTTP的Upgrade头字段，告知服务器希望将当前的HTTP连接升级为WebSocket连接。例如：
GET /socket HTTP/1.1
Host: example.com
Upgrade: websocket
Connection: Upgrade
Sec - WebSocket - Key: dGhlIHNhbXBsZSBub25jZQ==
Sec - WebSocket - Version: 13
- 服务器接收到这个请求后，如果支持WebSocket协议且验证通过（如验证
Sec - WebSocket - Key等），会返回一个HTTP 101 Switching Protocols响应，表示同意将连接升级为WebSocket连接。例如：
HTTP/1.1 101 Switching Protocols
Upgrade: websocket
Connection: Upgrade
Sec - WebSocket - Accept: s3pPLMBiTxaQ9kYGzzhZRbK+xOo=
- 自此，连接从HTTP协议转换为WebSocket协议，双方可以进行全双工通信，实现实时数据传输。例如服务器可以主动推送消息给客户端，客户端也能随时向服务器发送消息，无需像HTTP那样每次都由客户端发起请求。
HTTPS保障数据传输安全
- 加密传输：
- HTTPS在HTTP的基础上增加了SSL/TLS层。在建立连接时，客户端和服务器进行握手过程。服务器向客户端发送数字证书，证书包含服务器的公钥。
- 客户端验证证书的合法性（如证书是否由受信任的证书颁发机构签发、是否过期等）。验证通过后，客户端生成一个随机的对称密钥（会话密钥），使用服务器公钥加密这个会话密钥并发送给服务器。
- 服务器使用自己的私钥解密得到会话密钥。之后，双方使用这个会话密钥对传输的数据进行对称加密和解密，确保数据在传输过程中不被窃取或篡改。例如，无论是HTTP请求/响应，还是升级后的WebSocket数据传输，都通过这个加密通道进行。
- 身份验证：
- HTTPS通过数字证书实现服务器身份验证。客户端通过验证证书来确认与之通信的服务器确实是预期的服务器，而不是中间人攻击者伪装的。这防止了中间人攻击，保证了通信双方身份的真实性。
可能出现的安全漏洞及应对措施
- 中间人攻击（MITM）：
- 漏洞：攻击者在客户端和服务器之间拦截通信，篡改数据或冒充服务器。例如，攻击者可能在HTTP请求升级WebSocket连接时修改关键信息，或者在HTTPS握手过程中伪造证书。
- 应对措施：
- 客户端要严格验证服务器证书，确保证书由受信任的证书颁发机构（CA）签发，并且证书链完整、有效。
- 使用证书固定（Certificate Pinning）技术，客户端预先存储服务器证书的哈希值，只与具有匹配哈希值的证书进行通信，防止证书被替换。
- 跨站WebSocket劫持（CSWSH）：
- 漏洞：攻击者利用用户已登录的会话，通过诱使用户访问恶意网页，在用户不知情的情况下发起WebSocket连接到目标服务器，利用用户的身份进行操作。
- 应对措施：
- 服务器端在处理WebSocket连接时，验证请求来源，例如检查
Origin头字段，只允许来自合法来源的连接。
- 为WebSocket连接使用类似HTTP的认证机制，如JSON Web Tokens（JWT），在每次WebSocket请求中携带并验证用户身份。
- 未授权访问：
- 漏洞：如果WebSocket服务器没有正确的访问控制，攻击者可能直接连接到WebSocket服务器，获取敏感数据或执行非法操作。
- 应对措施：
- 实施严格的身份验证和授权机制，例如在WebSocket连接建立前，要求用户提供有效的凭证（用户名、密码、令牌等）。
- 对不同的WebSocket操作进行权限管理，只有具有相应权限的用户才能执行特定操作。
