socket.io搭配自签名SSL连接报timeout及WebSocket提前关闭错误原因

核心原因 #

• 最主要的原因是 socket.io-client 不会将根配置中的TLS证书参数（key、cert、ca等）透传给底层的HTTPS/WebSocket连接，你配置的客户端证书没有生效，而服务端开启了requestCert: true要求客户端出示证书，TLS握手失败直接断开连接，就会抛出「WebSocket was closed before the connection was established」错误。普通GET请求正常是因为https.request直接读取了配置中的证书参数完成了TLS握手。
• 次要可能原因：服务端监听绑定了localhost，仅允许本地回环地址访问，若客户端从非本地网络访问或者域名解析地址不是127.0.0.1会出现连接超时。
• 其他可能原因：socket.io服务端和客户端大版本不兼容，导致握手协议不匹配。

解决方案 #

1. 修正客户端证书配置 #

提前创建带证书参数的https.Agent传入socket.io配置，修改后的client.js代码如下：

import { io } from 'socket.io-client';
import fs from 'fs';
import https from 'https';

// 自定义HTTPS Agent，携带客户端证书
const httpsAgent = new https.Agent({
    key: fs.readFileSync('../certs/client-key.pem'),
    cert: fs.readFileSync('../certs/client-crt.pem'),
    ca: [
      fs.readFileSync('../certs/server-ca-crt.pem')
    ],
    rejectUnauthorized: false
});

const socket = io('https://server.aaa.com:8443', {
    transports: ['websocket'],
    agent: httpsAgent, // 传入自定义Agent
    reconnection: false
});

// 后续事件监听逻辑保持不变

2. 修正服务端监听地址 #

如果需要允许外部网络访问，将服务端监听的host改为0.0.0.0：

server.listen({ port: 8443, host: '0.0.0.0' }, () => {
    console.log(server.address());
});

3. 验证版本兼容性 #

执行以下命令检查两端版本，保证大版本一致：

# 服务端执行
npm list socket.io
# 客户端执行
npm list socket.io-client

如果版本不匹配，安装对应大版本的依赖即可。

4. 简易排查方法 #

可以临时将服务端requestCert改为false，测试无客户端证书的场景下是否可以正常连接，缩小问题范围。

内容的提问来源于stack exchange，提问作者Dev.file