SocketRocket连接失败常见原因有哪些？

Question

SocketRocket连接失败的常见原因之一是SSL/TLS配置不正确。当服务器使用HTTPS或WSS协议时，若客户端未正确配置证书信任链，或使用了过期、自签名证书而未做额外处理，会导致握手失败。此外，iOS应用若未在Info.plist中正确配置NSAppTransportSecurity，限制了明文HTTP或非可信加密通信，也会中断连接。需确保SocketRocket初始化时正确处理安全通道，并验证服务端证书有效性。

Answer 1

1. SocketRocket连接失败的常见原因：SSL/TLS配置不正确

在iOS平台使用SocketRocket进行WebSocket通信时，安全层（SSL/TLS）配置错误是导致连接失败的主要原因之一。当服务端采用WSS（WebSocket Secure）协议时，底层依赖于TLS加密通道，若客户端未能正确验证或信任服务器证书，则握手过程将被中断。

1.1 基础概念：SSL/TLS与WebSocket安全通信

• WSS协议基于TLS/SSL加密传输，等效于HTTPS之于HTTP。
• SocketRocket作为Objective-C实现的WebSocket客户端库，默认要求与服务器建立安全连接。
• TLS握手过程中，客户端需验证服务器提供的数字证书是否由可信CA签发、未过期且域名匹配。
• 若证书为自签名或内部CA颁发，系统默认不信任，需手动处理信任逻辑。

1.2 iOS平台的安全策略限制：NSAppTransportSecurity

iOS应用从ATS（App Transport Security）启用起，默认禁止明文HTTP和非合规HTTPS连接。即使使用SocketRocket，也受此策略影响。

配置项	作用说明	示例值
NSAllowsArbitraryLoads	允许所有HTTP请求（不推荐生产环境）	true
NSExceptionDomains	为特定域名放宽安全限制	wss.example.com
NSTemporaryExceptionAllowsInsecureHTTPLoads	允许临时不安全加载	true

2. 深入分析：证书信任链与自签名证书问题

当服务器使用自签名证书或私有PKI体系签发的证书时，操作系统无法通过公共CA链验证其合法性，从而拒绝建立TLS连接。

1. SocketRocket在初始化SRWebSocket实例时，会调用底层NSURLSession进行连接。
2. 若服务器证书不在系统信任库中，NSURLSessionDelegate会触发didReceiveChallenge事件。
3. 开发者必须在此处实现自定义挑战处理逻辑，否则连接终止。
4. 常见的误操作包括忽略挑战、未正确响应凭据、或未设置信任锚点。
5. 调试建议：使用Charles Proxy或Wireshark抓包分析TLS握手阶段的Alert消息。
6. 可通过OpenSSL命令行工具验证证书有效性：
   openssl s_client -connect yourserver.com:443 -showcerts

3. 解决方案与最佳实践

针对不同场景，应采取分层应对策略以确保安全性和连通性平衡。

3.1 Info.plist中的ATS配置调整

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>wss.yourdomain.com</key>
        <dict>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.2</string>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

3.2 自定义证书验证逻辑（Objective-C代码示例）

- (void)webSocket:(SRWebSocket *)webSocket didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {
    if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
        SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
        // 手动评估信任（仅限测试环境）
        BOOL trust = [self evaluateServerTrust:serverTrust forDomain:challenge.protectionSpace.host];
        if (trust) {
            NSURLCredential *cred = [NSURLCredential credentialForTrust:serverTrust];
            [challenge.sender useCredential:cred forAuthenticationChallenge:challenge];
        } else {
            [challenge.sender cancelAuthenticationChallenge:challenge];
        }
    }
}

3.3 使用PKCS#12或DER格式嵌入根证书

将企业CA证书打包进应用Bundle，并在运行时加载为信任锚：

• 导出CA证书为.der格式
• 添加至Xcode项目资源
• 使用SecCertificateCreateWithData创建证书对象
• 通过SecTrustSetAnchorCertificates指定附加信任锚

4. 故障排查流程图

graph TD
            A[开始连接WSS] --> B{ATS是否允许?}
            B -- 否 --> C[检查Info.plist NSAppTransportSecurity]
            B -- 是 --> D{证书是否由可信CA签发?}
            D -- 否 --> E[是否启用自定义信任处理?]
            E -- 否 --> F[连接失败]
            E -- 是 --> G[执行challenge响应]
            G --> H[TLS握手完成?]
            H -- 否 --> I[查看SSL Alert Code]
            H -- 是 --> J[连接成功]
            C --> K[添加例外规则并重试]