WebKit不接受我的简单WebSocket连接原因及证书自动更新求助

一、WebKit无法连接WSS的证书兼容性问题 #

你的推测是正确的，WebKit对TLS证书的校验标准比Gecko、Blink引擎更严格，导致连接失败的常见原因如下：

• 证书链不完整：你仅加载了服务器证书，但未提供中间证书。Gecko/Blink会自动尝试补全缺失的中间链，但WebKit不会，直接判定证书不可信。解决方式是将服务器证书与所有中间证书按顺序（服务器证书在前，中间证书在后）合并为一个文件，用该文件作为cert参数。
• 签名算法老旧：WebKit完全不支持SHA-1这类旧签名算法，而Gecko/Blink可能保留兼容。可通过openssl x509 -in your-cert.pem -text -noout命令查看Signature Algorithm字段，确保使用SHA-256及以上算法。
• 证书扩展字段不符合要求：
  • WebKit强制要求证书包含Subject Alternative Name（SAN）字段，即使CN与域名匹配也不能省略；
  • 证书的Key Usage和Extended Key Usage必须包含TLS Web Server Authentication，否则会被拒绝。
• 信任根或有效期问题：如果是自签名证书且未手动导入WebKit信任列表，会直接被拒绝；同时WebKit对过期、未生效的证书零容忍，需确认证书在有效期内且由主流信任根签发。

二、服务端代码调整建议 #

修改Node.js代码，确保加载完整的证书链：

var fs = require("fs");
var https = require("https");
var ws = require("ws");

// 替换为合并了服务器证书+中间证书的文件路径
var server = https.createServer(
    {
        cert: fs.readFileSync("/path/to/fullchain.pem"),
        key: fs.readFileSync("/path/to/private-key.pem")
    },
    function(request, response) {
        response.setHeader("Access-Control-Allow-Origin", "https://[domain]");
        if (request.method === "OPTIONS") {
            response.writeHead(200);
            response.end();
        } else {
            response.writeHead(405);
            response.end();
        }
    }
);

var websocketServer = new ws.Server({ server: server });
server.listen(8082);

三、证书自动更新的简便方案 #

针对证书文件名不固定、多域名的场景，推荐两种实用方案：

1. Nginx反向代理（最省心） #

将WSS请求反向代理到本地非加密WebSocket服务，让Nginx处理TLS证书的自动更新：

• Nginx配置示例（监听443端口）：

server {
    listen 443 ssl;
    server_name your-domain.com;

    # 由Certbot自动管理证书与更新
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    location /wss {
        proxy_pass http://localhost:8083; # 指向本地非加密WS服务端口
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
    }
}

• 修改Node.js代码，创建普通WebSocket服务器（无需https），监听8083端口；
• 使用Certbot的Nginx插件申请证书，它会自动完成配置，且每天自动检查更新，更新后自动重载Nginx，无需人工干预。

2. Node.js证书热加载 #

如果不想依赖Nginx，可通过fs.watch监听证书文件变化，自动重启服务加载新证书：

const fs = require('fs');
const https = require('https');
const ws = require('ws');

let server;
let websocketServer;

// 加载证书并启动服务的通用函数
function startServer() {
    const options = {
        cert: fs.readFileSync('/path/to/fullchain.pem'),
        key: fs.readFileSync('/path/to/private-key.pem')
    };

    if (server) {
        server.close(() => createServer(options));
    } else {
        createServer(options);
    }
}

function createServer(options) {
    server = https.createServer(options, (req, res) => {
        res.setHeader("Access-Control-Allow-Origin", "https://[domain]");
        if (req.method === "OPTIONS") {
            res.writeHead(200);
            res.end();
        } else {
            res.writeHead(405);
            res.end();
        }
    });

    websocketServer = new ws.Server({ server });
    server.listen(8082);
    console.log('Server restarted with updated certificates');
}

// 监听证书目录，根据文件名规则触发更新
fs.watch('/path/to/cert-directory', (eventType, filename) => {
    if (filename.includes('your-domain')) { // 匹配当前域名的证书文件
        startServer();
    }
});

// 初始启动服务
startServer();

• 配合Certbot自动更新，证书文件被替换时会触发监听事件，自动重启服务；注意需为客户端实现WebSocket重连逻辑，应对服务重启时的连接断开。

内容的提问来源于stack exchange，提问作者PARALLAX