security - 为我的 https 网络应用程序设置安全网络套接字 (wss) 服务

Question

我有一个通过 https 提供的网络应用程序，现在它需要使用从另一台服务器提供的 websocket 服务。 Chrome、Firefox 和 Internet Explorer 立即提示如果应用程序是安全的 (https)，​​则不允许连接到不安全的 websocket 服务 (ws://URI)。奇怪的是，Apple Safari 并没有这样提示。

好吧，很公平，我假设任何全局信任的证书都可以安装在 websocket 服务器端，以启用安全服务 (wss://URI)。然而，维护套接字服务器的公司声称他们必须在那里安装与保护我的 Web 应用程序完全相同的证书。我在网上读到 wss 不会使用自签名证书运行，但在任何地方它都必须与调用网站运行的证书相同。

因为我们正在谈论与第 3 方共享证书 key 文件，所以我想仔细检查一下。如果我的安全站点运行在域 first.com，而 websocket 服务器的 IP 地址为 a.b.c.d，那么应该在 websocket 服务器上安装什么样的证书才能实现通信？一方面，这将是一种跨站点脚本，但假设用户知道他们想要什么，浏览器安全模型可能允许这样做？

Answer 1

我从上面了解到，浏览器连接到您的 Web 应用程序，然后重定向到其他服务器。如果是这种情况，那么浏览器会提示从安全 URL 重定向到不安全的站点。前进的方向实际上取决于重定向发生的服务器域，例如，如果您的主站点的 URL 形式为 www.mainsite.com 而目标站点的 URL 形式为 abc.secondsite.com 或 IP，则第二台服务器必须已配置已颁发给 IP 的任一 abc.secondsite.com 的 SSL 证书，即请求的主机名称必须与第二个站点提供的 SSL 证书完全匹配。

从技术上讲，辅助站点不必拥有与主站点相同的证书，它只需要是由受信任的来源(如 Verisign 等)颁发的证书即可。

另一方面，如果您有一个通配符子域证书，即证书颁发对所有 *.mainsite.com 域都有效，并且第二个站点的 URL 形式是 sub_domain.mainsite.com，那么可以使用相同的证书在两台服务器上使用。

希望这对您有所帮助。

谢谢