Cloudflare 阻断跨域 WebSocket 连接相关配置问题咨询

存在多类Cloudflare配置项会触发跨域场景下的WebSocket连接失败，常见可排查的配置如下：

• CORS规则配置错误：Cloudflare的「规则」-「转换规则」-「修改响应头」如果没有针对WebSocket跨域请求配置正确的Access-Control-Allow-Origin、Access-Control-Allow-Credentials等响应头，跨域预检请求会直接被浏览器拦截。注意WebSocket握手阶段的HTTP请求会触发标准CORS校验，规则和普通跨域HTTP请求完全一致。
• SSL/TLS加密模式不匹配：如果你的源站WebSocket服务走的是ws未加密协议，但Cloudflare的SSL/TLS模式设置为「严格」，会导致Cloudflare和源站之间的握手失败；如果前端发起的是wss请求但SSL证书配置无效，也会抛出跨域类异常。
• WAF/防火墙规则拦截：Cloudflare的托管WAF规则、自定义防火墙规则、速率限制规则如果拦截了携带跨域Origin头的WebSocket握手请求，会直接返回4xx/5xx状态码导致连接建立失败，可在Cloudflare「安全性」-「事件」面板排查对应请求的拦截记录。
• Origin头校验规则拦截：如果在Cloudflare侧配置了自定义规则校验请求头的Origin字段，仅允许同域Origin通过，跨域场景下的WebSocket握手请求会直接被拦截。
• WebSocket功能手动关闭：早期Cloudflare部分套餐需要手动开启WebSocket支持，老旧站点可在「网络」面板确认「WebSocket」开关是否处于开启状态。
• 页面规则/缓存规则异常配置：如果配置了针对WebSocket握手路径的页面规则，错误添加了缓存、重定向、强制修改请求/响应头等逻辑，会破坏握手流程导致跨域连接失败。
• 零信任Access规则限制：如果你的域名配置了Cloudflare Zero Trust Access访问控制，未在规则中放行跨域请求源的话，WebSocket握手请求会被Access直接拦截。

内容的提问来源于stack exchange，提问作者cs641311