| 核查点 | 握手鉴权、Origin 校验、消息级授权、wss |
|---|---|
| 方法 | 抓取握手请求与消息结构分析 |
| 修复 | 连接级 + 消息级双层校验 |
检查步骤
检查步骤
1. 抓取 WebSocket 握手请求，确认鉴权方式与 Origin 校验
2. 用测试账号观察消息级权限（改消息中的对象 ID 验证归属）
3. 核对是否强制 wss、降级连接是否被拒
4. 记录端点、鉴权方式与权限盲区修复视角：连接建立时校验来源与会话，消息处理按对象归属逐条授权。
WebSocket 安全配置检查
WebSocket 需独立核查鉴权与来源校验：握手阶段鉴权、消息级权限、Origin 校验与 wss 传输缺一不可。
易错点
- 只测 HTTP 接口，漏掉 WS 通道的越权
- 把浏览器不做 CORS 限制误解为无需 Origin 校验
数据来源与参考
- RFC 6455（WebSocket）
- OWASP WebSocket Security Cheat Sheet