WebSocket 为什么不直接使用标准的 socket 的实现方式?

[tdwyx]

WebSocket 为什么不直接使用标准的 socket，还要有自己的握手协议什么的，现有的server也不能直接连，弄得那么麻烦。

[LazyZhu]

nginx 1.3.13 支持了：
http://nginx.org/en/CHANGES

[BOYPT]

什么叫标准socket，socket在不同的os都有不同的实现和功能，不然你想有个网页能arp欺骗人家的路由器？

[gamexg]

为了安全。

[tdwyx]

@BOYPT arp工作于ip层，WebSocket只能使用tcp 工作在应用层，即使不用特有的握手之类的协议也是影响不到arp的吧

[tdwyx]

@gamexg 有哪些不安全的地方, 能给具体举例说明下吗？谢谢

[BOYPT]

@tdwyx 你不觉得他现在的设计能够充分利用到现有的80http端口，是非常有利于生态么

[BOYPT]

@tdwyx 按你说给个标准socket，是不是在个打浏览网页挂段代码就可以对特定一堆主机DDOS了

[gamexg]

@tdwyx 有很多系统的安全性依赖于ip地址的限制 。如果是 标准socket 入侵企业内网不需要费大工夫想尽办法弄个内部的肉鸡了，只要弄个网页通过客服之类的系统让内网用户打开就可以做很多事情了。

[gamexg]

几年前我们这里电信是固定内网ip上网，当时有很多同网段的 GhostXP 默认无密码把打印机都共享到内网了。

一般防火墙对内网的限制很少，标准socket 会照成严重的悲剧，例如在开发者或运维人员常去的网站上面推广个网站，在网站里面通过 标准socket 对同内网的主机做弱口令扫描，就好玩了。

[tdwyx]

@gamexg 那flash的那种 crossdomain.xml 的策略怎么样呢？

主要是WebSocket的协议确实挺别扭，比如我做一款游戏，iOS版、Android版都有了，现在想尝试做html5版的，结果不能直接使用现有的game server，还有单独给它弄个proxy很别扭

[gamexg]

Flash Socket安全问题的全面解析


http://wangleifire.iteye.com/blog/335034