如何利用 secure_link 模块实现带时间戳校验的 WebSocket 安全访问-Nginx-PHP中文网

secure_link 不能直接用于 WebSocket 全程校验，仅可在握手阶段通过 URL 参数（如 st+md5）做时效性准入控制，成功后需由后端服务实现细粒度鉴权。

如何利用 secure_link 模块实现带时间戳校验的 websocket 安全访问

nginx 的 secure_link 模块本身不支持 WebSocket 协议，因为它仅工作在 HTTP 请求头和 URL 参数层面，而 WebSocket 握手虽以 HTTP GET 开始，但后续为二进制长连接，secure_link 无法对升级后的连接持续校验。因此，**不能直接用 secure_link 实现 WebSocket 的时间戳校验访问控制**——但可以将其用于 WebSocket 握手阶段的准入控制，作为第一道安全防线。

利用 secure_link 校验 WebSocket 握手请求

WebSocket 连接建立前会发起一次标准 HTTP GET 请求（含 Upgrade: websocket 头），此时 nginx 仍可执行常规 HTTP 模块逻辑。你可以将时间戳 + 签名参数附加在 WebSocket URL 中（如 wss://example.com/ws?st=1717023600&md5=abc123...），并在 nginx 配置中用 secure_link 验证该请求：

设置 secure_link $arg_st,$arg_md5; 提取时间戳和签名
用 secure_link_md5 定义密钥和拼接规则，例如：
secure_link_md5 "your_secret_key$arg_st";
通过 secure_link_expires $arg_st; 启用过期检查（要求 $arg_st 是 Unix 时间戳）
若校验失败，返回 403；成功则允许进入 proxy_pass 到后端 WebSocket 服务

关键配置示例（nginx.conf）

以下是最小可行配置片段，假设后端 WebSocket 服务运行在 127.0.0.1:8080：

location /ws {
    # 提取并校验签名与时间戳
    secure_link $arg_md5,$arg_st;
    secure_link_md5 "my_websocket_secret$arg_st";
    secure_link_expires $arg_st;
<pre class="brush:php;toolbar:false;"># 校验失败时返回 403
if ($secure_link = "") {
    return 403;
}
if ($secure_link = "0") {
    return 403;
}

# 透传 WebSocket 握手请求
proxy_pass http://127.0.0.1:8080;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;

}

WebSocket 8.18.2

WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。

下载

客户端生成签名的注意事项

前端或业务系统生成合法 URL 时，需严格遵循服务端约定：

时间戳必须是秒级 Unix 时间（非毫秒），且预留合理有效期（如 5 分钟）
MD5 签名应基于 密钥 + 时间戳 原文计算（不加空格、不 Base64），小写十六进制输出
URL 示例：
wss://example.com/ws?st=1717023600&md5=9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08
注意：MD5 不再推荐用于高安全场景，生产环境建议改用 HMAC-SHA256 并配合 secure_link_md5 的替代方案（如自定义 Lua 签名校验）