HTTP上的WSS与HTTPS上的WSS

我读过WSS只能在HTTP上工作，而WSS可以在HTTP和HTTPS上工作。 WSS（安全Web套接字）连接在HTTP服务器上的安全性与HTTPS服务器上的安全性一样吗？如果网站/服务器不是网络套接字安全（WSS）连接仍然通过TLS/SSL加密？HTTP上的WSS与HTTPS上的WSS

2014-11-06 Isaac

“*我知道wss适用于http和https *”嗯？ – 2014-11-06 23:09:36

也许我应该说“我已经读过”而不是“我知道”？ – Isaac 2014-11-07 14:10:16

大卫的含义是，您阅读的信息_“wss适用于http和https”是错误的。看到我的答案。 – 2016-01-01 07:06:28

如果网站/服务器不是通过TLS/SSL仍然加密的Web套接字安全（wss）连接仍然是？

是。

wss（Secure Web Socket）连接在http服务器上的安全性与在https服务器上一样安全吗？

是的（见上文）。有一点需要注意：如果打开安全WebSocket连接的HTML/JavaScript来自非安全HTTP，则WebSocket连接仍然安全，但攻击者可能会在从Web服务器发送到浏览器时修改HTML/JavaScript 。 HTTP连接不受中间人嗅探或修改的保护。

2014-11-06 23:53:00 oberstet

TCP是否独立于中间人攻击？ – 2015-11-20 04:04:48

对于普通的TCP连接（非TLS），怀疑存在中间人攻击。 – oberstet 2015-11-20 15:58:29

你有第一个答案的参考？ – GoZoner 2015-12-03 16:45:06

“wss适用于http和https” ???这是一个奇怪的短语。

wss是安全的，因为它意味着“WebSocket协议通过https”。 WebSocket协议本身并不安全。没有Secure WebSocket协议，但只有“通过http的WebSocket协议”和“通过https的WebSocket协议”。另见this answer。

由于nv-websocket-client（用于Java的WebSocket客户端库），我也怀疑这句话的作者“如果打开的安全WebSocket连接的HTML/JavaScript的过来不安全的HTTP，WebSocket的连接仍然是安全的“由oberstet回答。

阅读RFC 6455（WebSocket协议）来达到正确的答案。要成为真正的工程师，不要避免阅读RFC。只有搜索技术博客和StackOverflow才能找到答案，绝不会将您带到正确的位置。

2016-01-01 07:02:43

浏览器通过HTTP（不是HTTPS）载入JavaScript的HTML页面可以打开非安全（ws）以及安全（wss）。通过HTTPS加载的HTML页面只能打开一个wss连接（不是ws连接）。你不必相信我，只需尝试一下。 – oberstet 2017-10-15 08:29:46

回答