Node.js+Express+Socket.io生产环境HTTPS下WebSocket握手400错误求助

我帮你梳理下这个WebSocket握手400错误的常见解决思路，都是生产环境中踩过的坑，一步步排查应该能解决：

1. 先确认Socket.io和HTTPS服务器的绑定是否正确 #

本地HTTP环境没问题，换成HTTPS后，最容易犯的错就是把Socket.io挂载到了单独的HTTP服务器上，而不是和HTTPS服务器绑定。你需要让Express应用和HTTPS服务器整合，再把Socket.io挂上去，代码示例如下：

const https = require('https');
const fs = require('fs');
const express = require('express');
const { Server } = require('socket.io');

const app = express();

// 加载你的SSL证书文件，路径要对应生产服务器上的位置
const sslOptions = {
  key: fs.readFileSync('/etc/ssl/private/infranodus.com.key'),
  cert: fs.readFileSync('/etc/ssl/certs/infranodus.com.crt'),
  // 如果有中间证书链，记得加上ca选项，很多人会漏掉这个导致证书验证失败
  ca: fs.readFileSync('/etc/ssl/certs/ca-bundle.crt')
};

// 用HTTPS服务器包裹Express应用，而不是单独启动HTTP服务器
const server = https.createServer(sslOptions, app);
// 把Socket.io直接挂载到这个HTTPS服务器上
const io = new Server(server, {
  cors: {
    origin: "https://infranodus.com", // 严格匹配你的生产域名，别用*（生产环境不安全）
    methods: ["GET", "POST"]
  }
});

io.on('connection', (socket) => {
  console.log(`用户已连接，SID: ${socket.id}`);
  // 你的业务逻辑...
});

const PORT = process.env.PORT || 443;
server.listen(PORT, () => {
  console.log(`HTTPS服务器运行在端口 ${PORT}`);
});

2. 检查反向代理（比如Nginx）的配置 #

生产环境大多用Nginx做反向代理，这时候必须配置WebSocket的转发规则，否则Nginx会把WebSocket的升级请求当成普通HTTP请求处理，直接返回400。给你一个适配Socket.io的Nginx配置片段：

server {
    listen 443 ssl;
    server_name infranodus.com;

    # SSL证书路径，对应你服务器上的文件
    ssl_certificate /etc/ssl/certs/infranodus.com.crt;
    ssl_certificate_key /etc/ssl/private/infranodus.com.key;

    location / {
        proxy_pass http://localhost:3000; # 指向你的Express应用监听的端口
        proxy_http_version 1.1;  # 必须设置为1.1，支持WebSocket的Upgrade头
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 如果你给Socket.io设置了自定义路径，比如/socket.io/，可以单独配置这个location
    # location /socket.io/ {
    #     proxy_pass http://localhost:3000/socket.io/;
    #     proxy_http_version 1.1;
    #     proxy_set_header Upgrade $http_upgrade;
    #     proxy_set_header Connection "upgrade";
    #     proxy_set_header Host $host;
    # }
}

配置完后记得重启Nginx：sudo systemctl restart nginx，这一步是很多人忽略的关键点。

3. 客户端连接代码要适配HTTPS #

客户端那边也要确保用正确的协议和配置连接，别用HTTP的地址，示例代码：

// 正确的连接方式，指定HTTPS域名
const socket = io("https://infranodus.com", {
  transports: ["websocket"], // 可以强制使用WebSocket，避免轮询阶段的问题
  secure: true,
  rejectUnauthorized: true // 正规CA颁发的证书保持true，自签名证书可以临时设为false（生产环境别这么做）
});

不要省略协议或者用http://，否则会出现混合内容错误，直接导致连接失败。

4. 验证CORS配置是否正确 #

Socket.io的CORS设置必须允许你的生产域名访问，别图省事用*，生产环境要严格控制。如果有多个子域名需要访问，可以设为数组：

const io = new Server(server, {
  cors: {
    origin: ["https://infranodus.com", "https://www.infranodus.com"],
    methods: ["GET", "POST"],
    credentials: true // 如果你的应用需要传递Cookie等凭证，记得开启这个
  }
});

5. 检查SSL证书的有效性 #

确保你的SSL证书是正规CA颁发的（比如Let's Encrypt），域名匹配正确，没有过期。可以用浏览器访问你的网站，点击地址栏的锁图标查看证书详情，如果证书有问题，浏览器会阻止WebSocket连接，因为WebSocket对证书的验证比普通HTTPS更严格。

6. 开启调试日志定位问题 #

如果上面的步骤都没解决，开启Socket.io的调试模式，看服务器端的详细日志，能帮你找到具体的错误点：

DEBUG=socket.io* node your-app.js

日志会显示连接请求的全过程，比如是否有CORS错误、握手请求被拦截的原因等，方便精准排查。

内容的提问来源于stack exchange，提问作者Aerodynamika