websocket鉴权必须在连接建立前完成，推荐将短期token放url中校验；upgrade头方式浏览器不支持，仅适用于非浏览器环境；连接后auth消息仅作补充，不可替代首次鉴权。
WebSocket 本身不内置鉴权机制，客户端连接时无法像 HTTP 那样直接携带 Cookie、Authorization 头或完整请求体。因此，鉴权必须在连接建立前或建立初期完成，常见且可靠的方式是将认证信息（如 token）通过 URL 查询参数 或 HTTP Upgrade 请求头（需服务端配合）传递，再由服务端验证。关键在于：不能依赖连接建立后的消息通信做首次鉴权，因为此时连接已打开，存在安全窗口。
方式一：Token 放在 WebSocket URL 中（最常用）
客户端在创建 WebSocket 实例时，把 JWT 或临时 token 拼入 URL：
const token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';const ws = new WebSocket(`wss://api.example.com/ws?token=${encodeURIComponent(token)}`);
服务端（如 Node.js + ws 库）可在 connection 事件中解析 query string 并校验 token：
- 提取 URL 中的 token 参数
- 验证签名、过期时间、白名单等（建议用成熟库如 jsonwebtoken）
- 验证失败立即调用 socket.close(4001, 'Unauthorized')，并拒绝后续通信
⚠️ 注意：URL 中的 token 会出现在服务端访问日志、代理日志、浏览器开发者工具网络面板中，不宜放长期有效的敏感 token；推荐使用短期有效（如 5 分钟）、一次性或绑定 IP/UserAgent 的临时 token。
方式二：通过 HTTP Upgrade 请求头传参（更安全，但需后端支持）
标准 WebSocket API 不允许客户端自定义 Upgrade 请求头，但可通过以下变通实现：
通过 Palebluedot AI(PBD)-TokenRouter 的多模态图像生成端点（`/v1/chat/completions`）使用 TokenRouter 兼容的方式生成或编辑图像...
- 使用原生 fetch + WebSocket 降级组合：先发带 Authorization 头的预检请求（如 POST /ws/handshake），服务端返回一个短期有效的 handshake token
- 再用该 token 创建 WebSocket 连接（仍走 URL 方式，但 token 更安全）
- 部分运行时（如 Electron、某些 Cordova 插件）或自研 WebSocket 客户端可注入 headers，但浏览器环境不可行
纯浏览器环境下，无法在 WebSocket 构造时设置自定义 Upgrade 头，所以此方式实际落地较少，多用于非浏览器环境（如 Node.js 客户端、小程序、App 内 WebView 配合 native 透传）。
方式三：连接后立即发送认证消息（仅作补充，不可替代首次鉴权）
有些业务会在 onopen 后立刻 send({ type: 'auth', token: 'xxx' })，服务端收到后验证并回复结果。这种方式有风险：
- 连接已建立，若验证失败，只能关闭连接（用户体验差）
- 中间人可能伪造 auth 消息（尤其未启用 wss）
- 无法阻止恶意连接消耗资源（如每秒建 1000 个连接再发 auth）
它适合做二次校验（比如检查用户权限变更），或与第一种方式叠加使用（URL token 初筛 + 消息 token 细粒度授权），但绝不能单独作为唯一鉴权手段。
额外建议：结合服务端防护策略
客户端只是入口，真正安全靠服务端兜底：
- 限制单 IP 单位时间内的 WebSocket 连接数（防暴力试探）
- 连接建立后，服务端记录 socket 关联的用户 ID、角色、过期时间，所有后续消息都基于该上下文鉴权
- 定期刷新 token 或要求重连（例如每 30 分钟发 ping/pong 时附带 token 签名校验）
- 敏感操作（如删除、转账）不在 WebSocket 上直接执行，而是转为带签名的 HTTP 请求回源验证
不复杂但容易忽略：鉴权不是“连上就行”，而是从连接发起那一刻起，每个环节都要有对应防御。URL token 是起点，服务端校验是核心，持续上下文管理是保障。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
