yd_234991549的论坛回复_云社区-华为云

先说结论：你贴的这三行本身是 WebSocket 代理的最小必需配置，但只做到这一步还不够，400 和 502 要分开查，400 多半是握手头在某一层被改写或丢了，502 多半是后端不可达或超时。一、Upgrade 和 Connection 必须成对出现是的，必须成对。HTTP/1.1 的协议升级靠这两个头一起表达：Upgrade: websocket 告诉后端要升级，Connection: upgrade 告诉中间代理这个连接不要按普通 HTTP 短连接处理。只写 Upgrade、不写 Connection，Nginx 或上游可能把请求当普通 HTTP 转发，后端收不到升级意图就返回 400；只写 Connection、不写 Upgrade，后端不知道要升级成什么协议，同样握手失败。更稳妥的写法是用 map，避免普通 HTTP 请求也被硬改成 upgrade：map $http_upgrade $connection_upgrade { default upgrade; '' close;}然后在 location 里写 proxy_set_header Connection $connection_upgrade; 这样非 WebSocket 请求不会被误标。二、Host、X-Real-IP、X-Forwarded-For 要不要补建议都补上，但作用不同：proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;缺 Host 最容易直接导致 400：很多后端按 Host 做虚拟主机路由或校验，Nginx 默认转发给 upstream 时 Host 会变成 upstream 名（这里是 127.0.0.1:8080），后端认不出原来的域名就拒绝握手。缺 X-Real-IP 和 X-Forwarded-For 一般不导致 400，只影响后端拿到的真实客户端 IP、日志和限流判断。三、proxy_http_version 1.1 是必需的是必需的。WebSocket 握手依赖 HTTP/1.1 的 Upgrade 机制，而 Nginx 对上游默认用 HTTP/1.0，1.0 没有协议升级语义，即使你写了 Upgrade 头，上游也可能忽略或按普通请求处理，导致握手卡在升级这一步。你已经写了 1.1，这一项可以排除。四、400 与 502 的区分排查400：优先查头转发。按顺序看：浏览器 Network 里 WebSocket 请求的 Request Headers 有没有 Upgrade: websocket、Connection: Upgrade、Sec-WebSocket-Key、Sec-WebSocket-Version: 13；再看 Nginx 的 access_log 里对应请求的 $http_upgrade、$connection_upgrade 值；最后看 error_log 里握手阶段的报错。502：优先查后端可达性和超时。先在 Nginx 所在机器上 curl 或 telnet 127.0.0.1:8080，确认后端真的在监听且 WebSocket 路径可达；再看 error_log 是否出现 upstream prematurely closed connection、connect() failed、timed out。长连接还要把超时放宽，例如 proxy_connect_timeout 60s、proxy_send_timeout 3600s、proxy_read_timeout 3600s，否则空闲稍久就被 Nginx 断开，表现为偶发 502 或连接中途断开。五、除了 error_log，怎么确认头有没有被改写或丢掉1. 在 location 里临时加一条带 $http_upgrade、$connection_upgrade、$host 的 access_log 格式，真实请求打过来就能看到 Nginx 收到的头。2. 在后端侧打一条握手日志，打印收到的 Upgrade、Connection、Host、Sec-WebSocket-Key，对比浏览器发出的头，差的那一项就是被中间层改掉的。3. 用 curl 直接模拟握手，绕过浏览器干扰：curl -i -N -H "Connection: Upgrade" -H "Upgrade: websocket" -H "Sec-WebSocket-Version: 13" -H "Sec-WebSocket-Key: x3JJHMbDL1EzLkh9GBhXDw==" http://你的域名/ws/ ，期望返回 101 Switching Protocols；返回 400 说明头或路由有问题，返回 502 说明后端或超时有问题。4. 如果前面还有 CDN、ELB、WAF 或多层 Nginx，要逐层排查：每一层都必须透传 Upgrade 和 Connection，有一层没配就会把头吃掉，这是绕过 Nginx 直连正常、经代理就不正常的常见原因。建议的完整 location 参考：location /ws/ { proxy_pass http://127.0.0.1:8080; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection $connection_upgrade; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_read_timeout 3600s; proxy_send_timeout 3600s;}改完后先 nginx -t 再 reload，然后按“浏览器 Network 头、Nginx access_log、后端握手日志、curl 101”这个顺序验证，基本能定位到是哪一层丢了头。