关于WebSocket客户端未提及验证Sec-WebSocket-Accept摘要的疑问

首先明确：浏览器原生的WebSocket客户端会自动验证这个摘要，MDN没特意提及是因为这是底层实现帮你完成的工作，不需要开发者手动介入。

核心细节拆解： #

• 当你用浏览器原生new WebSocket()发起连接时，浏览器会自动生成Sec-WebSocket-Key，发送请求后会自动计算预期的Sec-WebSocket-Accept值，并和服务器返回的结果对比。如果不匹配，浏览器会直接触发error事件，不会完成连接建立。你不需要编写任何代码处理这个验证逻辑，所以MDN文档不会把它列为开发者需要执行的步骤。
• 这个头部的唯一作用就是避免误连接：比如你不小心把WebSocket请求发到了普通HTTP服务器上，该服务器可能因某些原因返回了101状态码，但它并不懂WebSocket的握手规则。通过这个验证，客户端能确认对方是真正实现了WebSocket协议的服务器，不是“凑数”的响应。
• 它确实不是安全特性：因为算法和固定字符串258EAFA5-E914-47DA-95CA-C5AB0DC85B11都是公开的，任何知晓规则的服务都能算出正确值，没法用来做身份校验或加密。
• 如果你是手动实现WebSocket客户端（比如用Node.js直接操作TCP套接字），那你就必须手动计算并验证这个摘要——但这种场景属于进阶开发，MDN文档主要面向普通前端开发者，所以没覆盖这类场景。

内容的提问来源于stack exchange，提问作者laegil