防火墙可放行HTTPS却阻断WSS？需否实现HTTPS长轮询？

先确认你的观点：放行HTTPS的防火墙不会阻断WSS？ #

这个说法不完全准确。

WSS 是把 WebSocket 流量封装在 TLS 加密隧道里，但不少防火墙会做深度包检测（DPI）——它们能解密 HTTPS 流量（比如通过中间证书、网关代理），识别出握手阶段的 Upgrade: websocket 和 Connection: Upgrade 头字段，进而阻断 WebSocket 连接。另外，有些保守的企业防火墙会直接限制所有非标准 HTTP 升级行为，哪怕流量是加密的；还有部分老旧网络设备根本不识别 WebSocket 协议，会直接丢弃相关流量。

所以哪怕防火墙放行 HTTPS，WSS 仍有被阻断的可能。

是否需要实现 HTTPS 长轮询作为 fallback？ #

建议做这个 fallback 方案，理由如下：

• 企业内网、公共WiFi（机场、酒店）这类场景里，DPI 阻断 WSS 的情况并不少见，长轮询基于标准 HTTPS 请求响应模式，兼容性拉满，几乎所有放行 HTTPS 的环境都能跑通。
• 可以先做个连接检测：优先尝试 WSS 连接，一旦发现连接失败（超时、报错），自动切换到长轮询，这样既保留了 WebSocket 低延迟的优势，又能覆盖受限网络场景。

内容的提问来源于stack exchange，提问作者YongJiang Zhang