websocket跨域握手被拦截本质是服务端校验origin头失败，需在http升级阶段严格比对白名单，而非cors配置；403错误表明服务端主动拒绝，nginx须透传upgrade/connection头，spring boot需用handshakeinterceptor校验，node.js ws库应通过verifyclient处理。
WebSocket 跨域握手被 Origin 拦截，本质不是 WebSocket 协议本身限制，而是服务端对 HTTP 握手请求中的 Origin 头做了校验并拒绝了非白名单来源。浏览器发起 WebSocket 连接时，会自动带上当前页面的 Origin（如 https://a.com），如果服务端没做适配，就直接 403 或关闭连接。
服务端必须校验并允许合法 Origin
WebSocket 握手是标准 HTTP 请求（GET /ws HTTP/1.1），服务端需在升级响应前检查 Origin 头，并决定是否返回 Sec-WebSocket-Accept。常见框架处理方式：
-
Node.js + ws 库：通过
verifyClient钩子拦截握手，读取origin字段，手动比对白名单 - Express + ws：不能只靠 CORS 中间件（CORS 对 WebSocket 无效），必须在 WebSocket 服务器层处理
-
Java Spring WebSocket：配置
AllowedOrigins（支持*或具体列表），注意*在含凭证时不可用 -
Nginx 反向代理场景：确保真实
Origin头透传（不被覆盖），避免误用add_header干预握手响应
前端避免无意义的跨域尝试
不是所有跨域都该被允许，前端应尽量与后端部署在同一主域下。若必须跨域：
Java开发手册规约集合，基于阿里巴巴Java开发手册（嵩山版）。 涵盖7大维度：编程规约、异常日志、单元测试、安全规约、MySQL数据库、工程结构、设计规约。 当用户需要：(1) 编写或审查Java代码 (2) 检查命名/代码规范 (3) 处理异常和日志 (4) 编写单元测试 (5) 安全编码 (6) 数据库设...
- 确认目标 WebSocket 地址协议、域名、端口与页面一致（
wss://api.example.com/ws和https://app.example.com是同源） - 避免在开发时用
localhost:3000直连生产wss://prod.com/ws，这类组合几乎必然被拦截 - 不要试图用
document.domain或 iframe 伪造 Origin —— 浏览器禁止修改握手 Origin，无效且危险
调试关键点：看清楚哪一层拦的
打开浏览器开发者工具的 Network 面板，过滤 ws 或 websocket，点击失败连接，查看：
- Status 是 403、400 还是直接 closed？403 说明服务端主动拒绝；closed 无状态码可能是服务端静默丢弃或 TLS 握手失败
-
Request Headers 里是否有
Origin: https://xxx，值是否符合预期 -
Response Headers 是否缺失
Upgrade: websocket或Sec-WebSocket-Accept—— 缺失即服务端未完成协议升级 - 服务端日志中是否打印了 Origin 校验失败信息（如 “Origin not allowed: http://localhost:5173”）
安全提醒：别为省事开 Origin: *
设置 Access-Control-Allow-Origin: * 对 WebSocket 无效（它不走 CORS 预检），但有些服务端错误地把该头当成 WebSocket 允许标识。更危险的是直接信任任意 Origin 并完成升级 —— 这会让恶意网站轻易建立连接，可能触发服务端鉴权绕过或资源耗尽攻击。正确做法是精确匹配可信来源，或结合 Token / Cookie 做二次认证。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
