启用CloudFront后HTTPS环境下WebSocket握手失败问题求助

以下是结合你的架构（CloudFront + HTTPS ELB + HTTP网关 + HTTP WebSocket服务）分析的常见问题点：

• CloudFront与后端的协议头传递错误
  CloudFront转发HTTPS请求到ELB时，会传递X-Forwarded-Proto: https头，但你的后端网关和WebSocket服务如果依赖这个头判断请求协议，会认为请求是HTTPS，而后端实际用HTTP处理，导致协议不匹配，握手时触发重定向或拒绝逻辑，最终请求被浏览器取消。

• CloudFront未开启WebSocket支持
  CloudFront默认不会自动处理WebSocket长连接，需要针对WebSocket路径（比如/ws/**）单独配置缓存行为：

  • 允许GET、POST、CONNECT方法
  • 禁用缓存（WebSocket是实时长连接，不需要缓存）
  • 确保Origin、Sec-WebSocket-*等关键请求头被正确传递到后端

• CORS配置不兼容HTTPS场景
  HTTPS环境下浏览器的CORS预检规则更严格：

  • 后端（网关/服务）的CORS配置需要允许前端HTTPS域名作为Origin
  • 必须显式允许Sec-WebSocket-Key、Sec-WebSocket-Version、Upgrade、Connection这些WebSocket握手必需的请求头
  • 如果客户端带了凭证（比如Cookie），需要返回Access-Control-Allow-Credentials: true
    任何一项不满足，浏览器都会直接取消请求。

• ELB转发时丢失WebSocket握手头
  ELB的HTTP listener如果没有配置保留Upgrade、Connection、Sec-WebSocket-*这些头，转发到网关后，后端无法识别这是WebSocket握手请求，会按普通HTTP请求处理，导致握手失败。需要在ELB的listener规则里确保这些头被完整转发。

• Spring Cloud Gateway路由配置缺陷
  网关需要专门处理WebSocket请求的路由：

  • 路由规则要匹配WebSocket路径，并且启用WebSocketRoutingFilter
  • 要确保Upgrade和Connection头被正确转发到后端服务
    如果路由配置没有针对WebSocket做适配，请求会被当作普通HTTP请求拦截，触发握手失败。

• 浏览器混合内容拦截
  前端是HTTPS页面，但WebSocket请求用了ws://协议（因为后端是HTTP），浏览器会判定为混合不安全内容，直接阻止请求，表现为Cancelled。这种情况要么把后端也改成HTTPS，要么让网关正确处理wss://到ws://的转换，同时确保前端用wss://发起连接。

内容的提问来源于stack exchange，提问作者Developer