websocket跨域代理的核心是通过nginx反向代理透传握手请求，避免origin校验失败；必须配置proxy_http_version 1.1、proxy_set_header upgrade $http_upgrade、connection "upgrade"、host $host四条指令，并设置超时、禁用缓冲与缓存，cors头应由后端返回而非nginx添加。

WebSocket 实现跨域代理通信，核心不是“绕过跨域”，而是让浏览器发起的握手请求能被正确透传、验证和响应。关键在于：前端连接统一域名（如 wss://app.example.com/ws），后端服务实际部署在另一地址（如 wss://backend.internal:8080），中间由 Nginx 代理完成协议升级与头透传——整个过程对前端透明，且安全可控。

为什么必须用反向代理而不是前端直连

浏览器发起 WebSocket 连接时，会强制带上 Origin 头（如 Origin: https://app.example.com）。如果前端代码直接连 wss://backend.internal:8080，这个 Origin 值就和后端域名不匹配，后端校验失败就会拒绝握手（返回 403）。而反向代理能让前端始终访问同源路径（如 /ws），Nginx 把请求转发给后端的同时，还能控制关键协议头的传递，避免 Origin 校验失配。

Nginx 必须配置的 4 个核心指令

以下配置缺一不可，顺序和写法都影响 WebSocket 是否真正生效：

WebSocket 8.18.2

WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。

下载

• proxy_http_version 1.1; —— HTTP/1.0 不支持 Upgrade，必须显式设为 1.1
• proxy_set_header Upgrade $http_upgrade; —— 将客户端原始的 Upgrade: websocket 头原样传给后端
• proxy_set_header Connection "upgrade"; —— 固定设为 upgrade，不能写 $http_connection（可能带 keep-alive）
• proxy_set_header Host $host; —— 确保后端收到的 Host 是真实域名，便于路由或日志识别

长连接稳定性相关设置

WebSocket 是持久连接，Nginx 默认行为容易主动断开：

• proxy_read_timeout 86400; 和 proxy_send_timeout 86400; —— 设为 24 小时，防止空闲超时断连
• proxy_buffering off; —— 关闭缓冲，避免消息帧被缓存延迟推送
• 禁用 proxy_cache 相关指令 —— WebSocket 消息不可缓存，启用会导致连接异常

跨域控制交给后端，Nginx 不加 CORS 头

很多人误在 Nginx 里加 add_header Access-Control-Allow-Origin "*"，这是无效甚至有害的：

• WebSocket 握手响应是 101 Switching Protocols，不属于 2xx 范围，add_header 默认不生效（除非加 always）
• 即使加了，也干扰后端自己返回的合法 CORS 头（如 Access-Control-Allow-Origin: https://app.example.com）
• 真正的跨域许可应由后端在握手响应中返回，Nginx 只需透传这些头（默认已开启）

不复杂但容易忽略