使用AWSIoT SDK通过WebSocket连接MQTT服务器失败

从日志表现看，TCP层WebSocket握手已经成功，断开发生在MQTT协议初始化阶段，属于服务端主动拒绝连接，按以下优先级从高到低排查即可：

• 优先排查已知SDK版本bug
  你当前使用的SDK版本为2.27.9，该版本存在明确的WebSocket签名逻辑缺陷：SDK默认开启指标上报时，会自动在连接URL后拼接?SDK=iOS&Version=2.27.9元数据参数，但签名计算时没有把这部分参数纳入签名串，导致IoT服务端验签失败，在收到MQTT CONNECT报文前直接主动断开连接，和你日志里的表现完全一致。
  修复方式二选一：
  • 初始化AWSServiceConfiguration时将enableMetricsCollection属性设置为false，关闭自动元数据上报，跳过问题参数拼接
  • 直接将AWS iOS SDK升级到2.28.0及以上版本，官方已经修复该签名顺序问题
• 排查权限与端点配置问题
  • 确认初始化AWSIoTDataManager时传入的IoT端点地址正确，必须是IoT Core控制台提供的ATS兼容端点，格式为<your-account-prefix>-ats.iot.<region>.amazonaws.com，不要使用旧版非ATS端点、不要填错区域、不要额外拼接路径或端口
  • 确认当前使用的AWSCredentials对应的身份（IAM用户、Cognito身份、STS临时凭证）绑定的IoT Core策略包含iot:Connect权限，策略中配置的clientId资源匹配你传入的随机UUID，不要写死固定clientId导致权限校验不通过；如果用临时凭证，确认凭证连接时处于有效期内
  • 确认IoT Core没有开启客户端ID拦截规则，你生成的UUID格式符合服务端的clientId规范（部分自定义配置会要求clientId带特定前缀）
• 排查本地环境与实例生命周期问题
  • 切换到蜂窝移动网络测试连接，如果蜂窝网下连接正常，说明当前WiFi环境存在防火墙/代理，拦截了WebSocket握手完成后的MQTT协议报文，只放通了握手阶段的HTTP请求
  • 确认iotDataManager实例被全局强引用持有，不要在连接过程中被系统自动回收；不要在多线程中重复调用连接/断开方法，避免逻辑冲突
• 服务端日志精准定位
  开启IoT Core的CloudWatch日志功能，查找对应时间点的连接事件日志，日志会明确记录连接被拒绝的具体原因（签名不匹配、权限不足、clientId非法等），比客户端侧日志定位效率高很多。

快速验证方法：使用IoT Core控制台自带的测试客户端，填入和App端完全一致的凭证、端点、客户端ID尝试连接，如果控制台客户端也连接失败，直接查CloudWatch日志定位根因；如果控制台客户端连接正常，再回头排查本地SDK配置问题。

内容的提问来源于stack exchange，提问作者Amit