Rails 4.2.x ActionCable开发环境SSL/TLS配置故障排查求助

针对你遇到的WSS连接不稳定、握手被取消的问题，我结合Rails 4.2和Thin服务器的特性，分点解答你的疑问：

1. 可能遗漏的关键配置 #

以下几个配置点是导致连接失败的常见诱因，很容易被忽略：

• Thin服务器SSL参数未正确指定：启动Thin时必须显式传入SSL密钥和证书路径，仅加--ssl参数会使用Thin默认测试证书，和你在Chrome信任的自签名证书不匹配，直接触发握手失败。
• ActionCable挂载路径错误：你的报错显示连接到wss://my.app.eu:28080/，但默认ActionCable是挂载在/cable路径下的。如果routes.rb里是mount ActionCable.server => '/cable'，客户端必须连接wss://my.app.eu:28080/cable，否则会返回404，触发握手取消。
• 自签名证书缺少SAN扩展：Chrome对自签名证书的要求越来越严格，即使Common Name（CN）是my.app.eu，如果证书没有包含Subject Alternative Name（SAN）扩展，WebSocket独立连接可能会被浏览器拦截（网页可能显示绿色锁，但WebSocket连接会触发证书验证失败）。
• ActionCable Origin白名单配置：在config/environments/development.rb中，config.action_cable.allowed_request_origins必须包含你的HTTPS域名（比如/https:\/\/my\.app\.eu/），否则服务器会拒绝握手请求，返回403错误。
• Thin绑定IP限制：如果启动Thin时用默认的127.0.0.1绑定，通过my.app.eu域名访问时会无法连接，需要加上--bind 0.0.0.0让服务器监听所有网卡。

2. 排查阻塞点的实用方法 #

可以通过以下步骤逐步定位问题：

• 用OpenSSL测试SSL握手：执行openssl s_client -connect my.app.eu:28080，查看证书信息是否正确，是否有握手失败提示。如果显示verify return code: 18 (self signed certificate)是正常的（自签名证书特性），但如果出现error:14094410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure，说明Thin的SSL配置存在问题。
• 查看Thin Debug日志：启动Thin时加上--debug参数，观察是否收到WebSocket握手请求，以及服务器返回的错误信息（比如路由不匹配、Origin被拒绝）。
• Chrome开发者工具抓包：在Network标签下找到WebSocket请求，查看Request Headers里的Origin是否在白名单中，Response Headers是否返回4xx/5xx错误码。如果请求根本没到达服务器，可能是端口被防火墙拦截。
• 用Curl模拟WebSocket握手：执行以下命令：

  curl -v -k --http1.1 \
    -H "Upgrade: websocket" \
    -H "Connection: Upgrade" \
    -H "Sec-WebSocket-Key: test-key" \
    -H "Sec-WebSocket-Version: 13" \
    wss://my.app.eu:28080/cable
  

  如果返回HTTP/1.1 101 Switching Protocols，说明服务器端配置正常，问题可能在客户端；如果返回404/403，说明服务器端路径或Origin配置有误。
• 检查端口占用：用lsof -i :28080确认只有Thin在监听该端口，避免其他进程抢占导致连接不稳定。

3. 开发环境配置SSL WebSocket的详细指南 #

按照以下步骤可以快速搭建稳定的WSS环境：

步骤1：生成带SAN扩展的自签名证书 #

Chrome要求自签名证书包含SAN，需自定义配置文件：

1. 创建openssl.cnf文件：

   [req]
   default_bits = 2048
   prompt = no
   default_md = sha256
   distinguished_name = dn
   req_extensions = req_ext
   
   [dn]
   C = CN
   ST = Shanghai
   L = Shanghai
   O = MyApp
   OU = Dev
   CN = my.app.eu
   
   [req_ext]
   subjectAltName = @alt_names
   
   [alt_names]
   DNS.1 = my.app.eu
   DNS.2 = localhost
   

2. 生成证书和密钥：

   openssl req -x509 -sha256 -nodes -newkey rsa:2048 -days 365 \
     -keyout my.app.eu.key -out my.app.eu.crt \
     -config openssl.cnf
   

步骤2：配置Thin服务器的SSL #

• 命令行启动方式：

  thin start --ssl --ssl-key-file ./my.app.eu.key --ssl-cert-file ./my.app.eu.crt \
    --port 28080 --bind 0.0.0.0 --debug
  

• 配置文件方式：创建config/thin.yml：

  port: 28080
  bind: 0.0.0.0
  ssl: true
  ssl_key_file: ./my.app.eu.key
  ssl_cert_file: ./my.app.eu.crt
  debug: true
  

  启动时执行thin start -C config/thin.yml

步骤3：配置Rails ActionCable #

在config/environments/development.rb中添加：

config.action_cable.url = "wss://my.app.eu:28080/cable"
config.action_cable.allowed_request_origins = [/https:\/\/my\.app\.eu/, /https:\/\/localhost:\d+/]
# 开发环境可暂时关闭CSRF保护，生产环境务必开启
config.action_cable.disable_request_forgery_protection = true

确保config/routes.rb中挂载ActionCable：

mount ActionCable.server => '/cable'

步骤4：配置客户端连接 #

修改app/assets/javascripts/cable.js：

//= require action_cable
//= require_self
//= require_tree ./channels

(function() {
  this.App || (this.App = {});

  App.cable = ActionCable.createConsumer('wss://my.app.eu:28080/cable');
}).call(this);

步骤5：信任证书 #

将生成的my.app.eu.crt拖到Mac的Keychain Access，双击证书，在“信任”选项卡中设置“使用此证书时”为“始终信任”，然后重启Chrome。

完成以上步骤后，先访问https://my.app.eu:28080确认网页显示绿色锁，再测试ActionCable连接，应该就能稳定工作了。

内容的提问来源于stack exchange，提问作者ZedTuX