握手：校验 Cookie 或令牌，未认证直接拒绝升级
来源：浏览器场景校验 Origin 头并白名单
消息：每条消息重新校验权限（不只信任连接身份）
限流：消息速率与大小限制，防资源耗尽
审计：消息类型与异常模式记录

location /ws/ {
    proxy_pass http://127.0.0.1:8080;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_read_timeout 300s;
}