Spring Boot后端HTTPS与WSS连接断开问题及架构咨询

问题1：能否在Spring中实现HTTPS请求与无SSL的WebSocket共存？ #

可以实现，但要注意浏览器混合内容限制：如果前端页面是HTTPS加载的，浏览器会直接阻止页面发起未加密的WS（WebSocket）连接，这属于安全页面加载非安全资源的“混合内容”行为，会触发报错。因此这个方案仅适用于前端也是HTTP的场景，而你需要保留HTTPS，所以实际不可行。

更合理的替代方案是让HAProxy终止SSL连接：

• 由HAProxy处理证书和HTTPS/WSS握手，前端依然用HTTPS发起请求、WSS建立WebSocket连接；
• HAProxy将解密后的HTTP请求转发到后端Spring Boot的HTTP端口，将解密后的WebSocket帧转发到后端的WS端口（或同一端口的WebSocket路径）；
• 后端Spring Boot禁用SSL，专注业务逻辑，同时避免SSL层可能引发的WebSocket连接不稳定问题。

Spring Boot配置示例（application.yml）：

server:
  port: 8080 # 处理普通HTTP请求
  additional-ports:
    ws: 8081 # 处理WebSocket连接
  ssl:
    enabled: false # 后端禁用SSL，交由HAProxy处理

问题2：单服务器处理HTTPS与WebSocket的最优架构，以及单独部署WebSocket服务器的合理性 #

单服务器最优架构 #

最优方案是HAProxy终止SSL + 后端Spring Boot统一处理HTTP与WebSocket：

1. HAProxy配置SSL证书，监听443端口处理HTTPS/WSS请求；
2. 通过HAProxy规则识别WebSocket请求（检查Upgrade: websocket和Connection: Upgrade请求头），将其转发到后端WS端口；普通HTTP请求转发到后端HTTP端口；
3. 后端Spring Boot无需处理SSL，避免SSL层可能导致的WebSocket断开问题，同时简化业务逻辑开发。

HAProxy配置示例片段：

frontend https_front
  bind *:443 ssl crt /path/to/your/cert.pem
  mode http
  # 识别WebSocket请求
  acl is_websocket hdr(Upgrade) -i websocket
  use_backend ws_backend if is_websocket
  # 普通HTTP请求转发到应用后端
  default_backend http_backend

backend ws_backend
  mode http
  server spring_ws 127.0.0.1:8081

backend http_backend
  mode http
  server spring_http 127.0.0.1:8080

单独部署WebSocket服务器的合理性 #

如果你的应用存在以下情况，单独部署WebSocket服务器完全合理：

• WebSocket长连接数量极大，占用大量内存、文件句柄，影响HTTP服务的性能；
• WebSocket业务逻辑复杂，需要独立迭代、单独扩容；
• 需要针对WebSocket做专门性能优化（比如使用基于Netty的高性能WebSocket服务器，而非Spring Boot默认的Tomcat容器）。

这种架构下，HAProxy负责请求分流：WebSocket请求转发到独立的WebSocket服务器集群，HTTP请求转发到应用服务器集群，两者独立扩容，架构解耦，扩展性更强。

内容的提问来源于stack exchange，提问作者yemista