WebSocket数据加密传输WSS配置教程 SSL证书安装与调试方法-js教程-PHP中文网

wss配置本质是为承载websocket的tls通道配证书，而非单独配置websocket；需确保https服务（直连或nginx反代）正确加载完整证书链、精确匹配域名，并透传upgrade和connection头部。

websocket数据加密传输wss配置教程 ssl证书安装与调试方法

WSS 不是给 WebSocket 单独配证书，而是配 TLS 通道

很多人卡在第一步：以为要找一个叫 ssl_certificate 的 WebSocket 配置项。其实没有——wss:// 本质是 WebSocket 运行在 TLS 通道上，就像 https:// 之于 HTTP。你真正要配置的，是承载 WebSocket 的 HTTPS 服务本身。

这意味着：要么让 WebSocket 服务器自己启动 HTTPS（直连模式），要么用 Nginx/Apache 终止 TLS 后代理到普通 ws 服务（反向代理模式）。选哪种，取决于你是否愿意让业务服务进程直接处理 SSL 加解密。

直连模式适合开发调试或轻量部署，但 Node.js/Python 等服务会多消耗 CPU 做 TLS 握手
反向代理模式更常见于生产环境，Nginx 承担 SSL 终结，后端专注 WebSocket 逻辑，也方便统一管理证书和 HTTP 流量
微信小程序、企业内网等场景强制要求域名 + 有效证书，IP 地址 + 自签名证书 几乎不可用（Let’s Encrypt 不签纯 IP）

Nginx 反向代理配置 wss 时必须设置 Upgrade 头

只配了 ssl_certificate 和 ssl_certificate_key，但 WebSocket 连接仍失败？大概率是漏了协议升级头。Nginx 默认把 WebSocket 当作普通 HTTP 请求处理，不会透传 Upgrade 和 Connection，导致握手卡在 HTTP 101 Switching Protocols 阶段。

正确配置的关键三行必须同时存在：

SSL

配置HTTPS，管理TLS证书，并调试安全连接问题。

下载

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";

proxy_http_version 1.1 是前提，HTTP/1.0 不支持 Upgrade 机制
$http_upgrade 必须用变量形式，硬写 "websocket" 会导致部分客户端（如旧版 Safari）降级失败
Connection "upgrade" 的引号不能丢，否则 Nginx 会把它当变量解析为空
如果后端服务监听的是 http://127.0.0.1:8080，确保该地址能被 Nginx 访问（Docker 容器需注意 network 模式）

证书路径、域名匹配与链完整性是连接失败最常见原因

浏览器控制台报 NET::ERR_CERT_INVALID 或 ERR_CONNECTION_REFUSED，90% 以上不是代码问题，而是证书环节出错。

ssl_certificate 必须指向包含完整证书链的文件（如 fullchain.pem），不是单个 cert.pem；否则 Android/iOS 客户端常静默失败
证书的 Subject Alternative Name（SAN）必须覆盖你实际使用的域名，例如用 wss://chat.example.com 连接，证书就得含 chat.example.com 或 *.example.com，example.com 单独存在不够
Let’s Encrypt 的证书默认 90 天有效期，certbot renew 后必须 reload Nginx（systemctl reload nginx），restart 不一定触发证书重载
自签名证书仅限本地开发测试；Chrome 启动加 --unsafely-treat-insecure-origin-as-secure="https://localhost:8080" --user-data-dir=/tmp/test 才能临时绕过，但无法用于真机或小程序

Node.js 直连模式下传入证书路径容易读取失败

用 fs.readFileSync() 加载证书时抛 ENOENT 或 EACCES？不是路径写错，就是权限或上下文问题。

路径必须是绝对路径，./cert.pem 在 systemd 服务或 Docker 中往往解析为根目录，应改用 /app/cert.pem 这类明确路径
私钥文件（.key）权限必须是 600，Nginx 或 Node.js 进程若以非 root 用户运行，对 644 权限的 key 会拒绝加载
使用 ws 库时，不要传 ssl: { cert, key } 到 WebSocket.Server 构造函数——它不认这个字段；必须先用 https.createServer({ cert, key }) 创建 server 实例，再传给 new WebSocket.Server({ server })
证书内容不能是 PEM 格式中的 BEGIN/END 注释块混入空格或 Windows 换行符（\r\n），建议用 cat cert.pem | tr -d '\r' > clean.pem 清理