在 go 的 websocket 应用中，应在 http 升级为 websocket 连接前完成用户认证（如 jwt、session 或 oauth），而非在 websocket 连接建立后处理；此举可有效防止会话劫持，因 websocket 本身不引入额外认证风险。
WebSocket 协议本身是基于 HTTP 的升级协议（通过 Upgrade: websocket 头），其安全性完全依赖于初始 HTTP 请求阶段的防护能力。这意味着：所有认证逻辑必须在调用 websocket.Upgrader.Upgrade() 之前完成——一旦连接升级成功，后续通信即为纯双向消息流，不再经过 HTTP 中间件或标准认证流程，也无法再访问原始请求头、Cookie 或 TLS 客户端证书等上下文。
以下是一个使用 Gorilla WebSocket 和基于 Cookie 的 Session 认证的典型实践示例：
func wsHandler(w http.ResponseWriter, r *http.Request) {
// Step 1: 验证用户身份（例如检查 session 或 JWT）
session, err := store.Get(r, "auth-session")
if err != nil || session.IsNew {
http.Error(w, "Unauthorized", http.StatusUnauthorized)
return
}
userID, ok := session.Values["user_id"].(string)
if !ok || userID == "" {
http.Error(w, "Invalid session", http.StatusUnauthorized)
return
}
// Step 2: 执行业务级权限检查（可选）
if !isUserAllowedToConnect(userID, r.URL.Query().Get("room")) {
http.Error(w, "Forbidden", http.StatusForbidden)
return
}
// Step 3: 安全升级 —— 此时已确认合法用户
upgrader := websocket.Upgrader{
CheckOrigin: func(r *http.Request) bool {
// 严格校验 Origin（生产环境务必实现）
return originIsTrusted(r.Header.Get("Origin"))
},
}
conn, err := upgrader.Upgrade(w, r, nil)
if err != nil {
log.Printf("Upgrade error: %v", err)
return
}
defer conn.Close()
// Step 4: 使用已认证的 userID 初始化 WebSocket 会话
client := &Client{ID: userID, Conn: conn, Room: r.URL.Query().Get("room")}
handleClient(client)
}⚠️ 关键注意事项：
- 绝不跳过前置认证：切勿在 Upgrade() 后通过 WebSocket 消息发送 token 再做鉴权——这会使连接暴露于中间人或重放攻击。
- Origin 校验必须启用：CheckOrigin 回调需显式拒绝不可信来源（默认仅允许同源），避免跨站 WebSocket 劫持（CSWSH）。
- TLS 是强制前提：明文 WebSocket（ws://）易被嗅探和篡改，生产环境必须使用 wss:// 并配置有效证书。
- 避免复用未校验的请求上下文：r.Header, r.Cookie, r.URL 等仅在 Upgrade() 前有效；升级后无法再读取原始请求信息。
- Socket.io 不适用本场景：文中提到的 Socket.io 安全问题源于其自定义握手与多传输层抽象，而原生 WebSocket（如 Gorilla）无此复杂性——你掌控整个 HTTP→WS 升级链路，因此更可控、更安全。
总结而言，Go 中 WebSocket 认证的本质是「HTTP 认证 + 安全升级」：复用成熟的 HTTP 认证方案（如 gorilla/sessions、golang-jwt/jwt/v5 或 OAuth2 库），在 Upgrade 前完成全部校验，并辅以严格的 Origin 控制与 TLS 加密，即可构建健壮、符合最佳实践的身份验证体系。
