升级Node.js至20.10与Socket.IO至4.7.2后SSL WebSocket连接失败求助

问题背景 #

将Node.js从14.7升级至20.10、Socket.IO从v1升级至4.7.2后，安全WebSocket（wss）连接无法建立：

• 客户端可正常连接443端口的Express安全服务器获取WebSocket端口信息
• 端口测试工具确认4321端口开放，但通过wss://{hostname}.com:4321/socket.io/?EIO=4&transport=websocket连接失败
• 旧版本使用相同证书可正常连接，新版本使用EIO=4（旧版本为EIO=3）

核心排查步骤 #

1. 修正Socket.IO服务端初始化与监听逻辑 #

Socket.IO v4的初始化与监听方式和v1存在差异，当前代码可能存在服务器绑定错误：

• 错误写法：创建HTTPS服务器后调用io.listen(port)，会导致Socket.IO新建一个无SSL配置的HTTP服务器监听4321端口，与客户端的wss请求不匹配
• 正确写法：直接启动已绑定Socket.IO的HTTPS服务器：

import { createServer } from 'https';
import { Server } from 'socket.io';
import express from 'express';

const app = express();
// 用SSL证书创建HTTPS服务器
const server = createServer(SSL.Credentials, app);
// 初始化Socket.IO并绑定到HTTPS服务器，同时配置CORS
const io = new Server(server, {
  cors: {
    origin: "*", // 测试阶段先用通配符，后续替换为实际允许的域名
    methods: ["GET", "POST"],
    credentials: true
  }
});
// 启动HTTPS服务器监听4321端口
server.listen(4321);

2. 配置Socket.IO v4的CORS规则 #

Socket.IO v4默认CORS限制远严于v1，必须显式配置允许客户端的Origin：

• 先使用宽松的origin: "*"测试连接是否恢复，确认问题后再将Origin设置为客户端实际域名（如https://your-client-domain.com）
• 检查浏览器网络面板中WebSocket请求的Origin头，确保服务端CORS配置包含该值

3. 验证SSL证书与Node.js 20的兼容性 #

Node.js 20对SSL证书的合规性要求更高，旧证书可能无法通过验证：

• 用openssl s_client -connect {hostname}.com:4321命令检查证书状态，查看是否存在证书链不完整、算法过时（如SHA-1）等问题
• 即使客户端设置rejectUnauthorized: false，服务端证书若存在无效问题，仍会导致连接失败

4. 排查传输协议与握手流程 #

• 暂时移除客户端的transports: ['websocket']配置，让Socket.IO自动使用polling→websocket的默认握手流程，排查是否因跳过握手导致连接失败
• 在线测试工具连接失败可能是握手阶段的CORS或协议不兼容问题，先确保默认流程能正常连接，再单独调试websocket传输

5. 确认Azure虚拟机的网络配置 #

• 检查Azure网络安全组（NSG）是否同时允许入站和出站的4321端口TCP流量（WebSocket基于TCP协议）
• 在VM内部执行ss -tulpn | grep 4321，确认Node.js进程确实在监听4321端口（避免端口被其他进程占用）
• 检查VM本地防火墙（如ufw、iptables）是否放行4321端口的入站流量

6. 开启调试日志定位具体错误 #

• 服务端：启动服务前设置环境变量DEBUG=socket.io*，查看连接请求的详细日志，重点关注CORS错误、证书错误、握手失败信息
• 客户端：在浏览器控制台执行localStorage.debug = 'socket.io-client*'，刷新页面后查看客户端连接流程的日志，定位websocket连接失败的具体原因（如证书验证失败、连接超时）

内容的提问来源于stack exchange，提问作者zzzbum