recraft websocket连接断开（code 1006/1011）本质是中间网络设备终止长连接，需按三步排查：一、通过浏览器network标签页确认实际websocket端口（如443或3000）；二、windows防火墙放行对应出站tcp端口（图形化或powershell）；三、自托管时在服务器防火墙及nginx中配置端口映射、白名单和upgrade头透传。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
Recraft AI在生成矢量图或实时协作时频繁触发WebSocket连接断开，界面卡在“Connecting…”或报错code 1006/1011，本质是客户端与服务端的长连接被中间网络设备主动终止，而防火墙未将Recraft通信流量识别为可信会话。
确认Recraft实际使用的WebSocket端口
Recraft云端服务默认走wss://api.recraft.ai:443，但自托管实例可能使用非标端口。先验证当前连接目标：
打开浏览器开发者工具→Network标签页→刷新Recraft页面→筛选WS类型请求→查看Headers中Request URL完整地址（如wss://your-domain.com/ws或wss://api.recraft.ai/v1/connect）→提取域名后的端口号（无端口即为443）。
若URL中明确含:3000、:8080等数字，后续所有白名单操作必须针对该端口；若无端口，一律按443处理。
Windows系统防火墙放行Recraft出站WebSocket连接
方法一：图形化新建出站规则（推荐给非技术人员）
1、按Win+R输入control firewall.cpl回车，打开“Windows Defender 防火墙”→点击左侧“高级设置”。
2、在左侧面板选择“出站规则”，右侧点击“新建规则”。
3、选择“端口”→下一步→勾选TCP→在“特定远程端口”框中输入【443,80,3000,8080】（根据上一步确认的实际端口删减，不要全填）→下一步。
4、选择“允许连接”→下一步→勾选所有配置文件（域、专用、公用）→下一步→命名为“Recraft_WS_Outbound”→完成。
方法二：PowerShell一键执行（适合批量部署）
以管理员身份运行PowerShell，粘贴执行：
Netsh advfirewall firewall add rule name="Recraft_WS_Outbound" dir=out action=allow protocol=TCP remoteport=443 enable=yes
若用3000端口，则将remoteport=443改为remoteport=3000。
服务器端防火墙添加IP白名单（自托管用户必做）
第一步：确认Recraft服务监听地址
登录服务器终端，执行docker ps -a | grep recraft，观察PORTS列输出。若显示0.0.0.0:3000->3000/tcp，说明服务绑定宿主机3000端口；若为127.0.0.1:3000->3000/tcp，则外部无法直连，需先修改容器启动参数暴露端口。
第二步：放行对应端口
Ubuntu系统执行：
sudo ufw allow 3000/tcp
CentOS/RHEL系统执行：
sudo firewall-cmd --permanent --add-port=3000/tcp && sudo firewall-cmd --reload
第三步：限制仅允许可信IP访问（可选强安全模式）
Ubuntu下执行：
sudo ufw allow from 203.123.45.67 to any port 3000
注意：此处203.123.45.67需替换为你的办公公网IP，多个IP重复执行该命令即可。
路由器/Nginx反向代理层透传WebSocket头
Nginx配置中必须显式声明Upgrade和Connection头，否则WebSocket握手包会被截断：
在server块内location /ws { } 或 proxy_pass指向Recraft后端的配置段中，插入以下三行：
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
执行sudo nginx -t验证语法，无误后运行sudo systemctl reload nginx。缺少任意一行都会导致TLS握手成功但WebSocket连接立即关闭。
