如何在WebSocket连接中携带自定义Cookie 跨域鉴权处理方法【详细】-js教程-PHP中文网

websocket跨域时cookie为空是因浏览器默认不携带，须同源或前后端协同配置credentials与cors：前端页面启用凭证模式，服务端返回access-control-allow-credentials:true且origin精确匹配，并在upgrader.upgrade()前读取req.cookies()校验。

如何在websocket连接中携带自定义cookie 跨域鉴权处理方法【详细】

WebSocket跨域时Cookie为空的典型现象

浏览器控制台没报错，但服务端 req.headers.cookie 始终是 undefined 或空字符串；Node.js 的 ws 库中 verifyClient 钩子里取不到 session_id；Gorilla WebSocket 的 upgrader.Upgrade() 前读 req.Cookies() 返回空切片。这不是服务端漏解析，而是客户端根本没发——跨域场景下，浏览器默认不携带 Cookie。

必须显式启用 credentials 才能传 Cookie

前端 WebSocket 构造函数不支持传配置对象（如 { withCredentials: true }），这是常见误解。实际生效方式只有两种：

同源连接：页面地址（https://app.example.com）与 WebSocket 地址（wss://app.example.com/ws）完全同域（协议+域名+端口一致），此时浏览器自动携带匹配的 Cookie，无需额外代码
跨域连接：必须确保页面和服务端都满足以下条件：
– 前端调用 new WebSocket("wss://api.example.com/ws") 时，所在页面已启用凭证模式（即页面本身是通过 fetch 或 XMLHttpRequest 带 credentials: "include" 加载的）
– 服务端响应握手请求时，必须返回 Access-Control-Allow-Credentials: true
– Access-Control-Allow-Origin 不能为 *，必须精确匹配前端 origin（如 https://localhost:3000）

Gorilla WebSocket 中读 Cookie 的正确时机和写法

很多人在 upgrader.Upgrade() 调用之后才尝试读 Cookie，这时已经晚了——协议升级完成，*http.Request 不再可用。正确做法是在 Upgrade 之前、仍处于标准 HTTP 请求阶段时处理：

NotebookLM CLI Cookies

使用 nlm CLI 检索并回答已上传至 NotebookLM 的文档问题。适用于用户需要查找信息、总结来源或查询特定笔记本时。

下载

func wsHandler(w http.ResponseWriter, r *http.Request) {
    // ✅ 此处 r 是完整 *http.Request，可安全读 Cookie
    cookies, err := r.Cookies()
    if err != nil || len(cookies) == 0 {
        http.Error(w, "Missing cookie", http.StatusUnauthorized)
        return
    }
    
    var sessionID string
    for _, c := range cookies {
        if c.Name == "session_id" {
            sessionID = c.Value
            break
        }
    }
    if sessionID == "" {
        http.Error(w, "Invalid session", http.StatusUnauthorized)
        return
    }

    // ✅ 校验通过后，再交给 Upgrader
    conn, err := upgrader.Upgrade(w, r, nil)
    if err != nil {
        return
    }
    defer conn.Close()
}

注意：Gorilla 的 Upgrader.CheckOrigin 默认拒绝所有跨域，若需跨域，必须显式设为 func(r *http.Request) bool { return true }（生产环境应校验 r.Header.Get("Origin")）。

Cookie 属性不匹配导致“发送了却收不到”

即使启用了 credentials，服务端仍收不到 Cookie，大概率是 Cookie 自身属性不兼容：

Secure 缺失：使用 wss:// 时，Cookie 必须带 Secure 标志，否则浏览器拒绝发送
SameSite 过严：跨域 WebSocket 握手属于“跨站请求”，若 Cookie 设为 SameSite=Strict，会被拦截；推荐设为 SameSite=Lax（同站宽松）或 SameSite=None; Secure（跨站必需配 Secure）
Domain 和 Path 不匹配：比如 Cookie 的 Domain=example.com，但 WebSocket 地址是 wss://api.example.com，此时需确保 Domain 包含子域（即设为 .example.com）