TLS WebSocket转发异常：握手返回200错误求助

我一眼就看出你遇到的问题根源了——这是Nginx代理WebSocket时非常常见的路径转发错误！

问题分析 #

你的Java Play Framework后端WebSocket服务绑定的路径是/socket/connect，但在Nginx的location /socket/connect配置块中，你写了：

proxy_pass http://backend/;

这里的末尾斜杠/是关键！它会让Nginx把客户端的请求路径重写为后端的根路径/，而不是保留原请求的/socket/connect。后端收到/的请求后，返回的是普通HTTP 200响应（比如你的网站首页或默认路由），而不是WebSocket握手需要的101 Switching Protocols响应，这就导致客户端报错。

解决方案 #

1. 修正Proxy_pass路径 #

把proxy_pass的目标路径改成和请求路径一致，或者去掉末尾的斜杠让Nginx保留完整请求路径：

方式一：明确指定后端路径

location /socket/connect {
    proxy_pass http://backend/socket/connect;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
}

方式二：保留完整请求路径（更灵活）

如果你的后端有多个WebSocket路径，这种方式更合适：

location /socket/connect {
    proxy_pass http://backend;  # 去掉末尾的斜杠
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
}

2. 确认$connection_upgrade变量已定义 #

很多人会漏掉这个配置，需要在Nginx的http块中添加映射规则：

http {
    # 其他全局配置...
    map $http_upgrade $connection_upgrade {
        default upgrade;
        ''      close;
    }
}

这个变量用来根据客户端的Upgrade请求头，动态设置Connection头的值，是WebSocket代理必不可少的。

3. 额外检查点 #

• 验证Play Framework的路由配置，确保/socket/connect确实映射到了你提供的connect()方法；
• 确认后端9000端口能被Nginx正常访问（你之前HTTP版WebSocket能运行，这一步大概率没问题，但还是可以排查下）；
• 检查SSL证书是否有效，避免因证书问题导致的握手失败。

验证修改 #

修改Nginx配置后，执行nginx -s reload重载配置，然后重新尝试客户端连接，应该就能成功建立WSS连接了。

内容的提问来源于stack exchange，提问作者Jakob Nielsen