มีการอัปเดตข้อกำหนดโปรโตคอล WebSocket เมื่อเร็วๆ นี้เพื่อแก้ไขปัญหาด้านความปลอดภัยก่อนหน้านี้ และมีความเสถียรเป็นส่วนใหญ่ ด้านล่างนี้เป็นสรุปการเปลี่ยนแปลงที่เกี่ยวข้อง พร้อมทั้งหมายเหตุบางส่วนเกี่ยวกับการใช้งานในปัจจุบัน
มีอะไรเปลี่ยนแปลงบ้างนับตั้งแต่ WebSocket HyBi 00
- เปลี่ยนรูปแบบเฟรมโปรโตคอลแล้ว HyBi 00 เคยใช้
"0x00"
เป็นส่วนหัวและ"0xff"
สำหรับหางของแต่ละเฟรม ตอนนี้ HyBi 10 ใช้รูปแบบใหม่ดังต่อไปนี้
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-------+-+-------------+-------------------------------+
|F|R|R|R| opcode|M| Payload len | Extended payload length |
|I|S|S|S| (4) |A| (7) | (16/63) |
|N|V|V|V| |S| | (if payload len==126/127) |
| |1|2|3| |K| | |
+-+-+-+-+-------+-+-------------+ - - - - - - - - - - - - - - - +
| Extended payload length continued, if payload len == 127 |
+ - - - - - - - - - - - - - - - +-------------------------------+
| |Masking-key, if MASK set to 1 |
+-------------------------------+-------------------------------+
| Masking-key (continued) | Payload Data |
+-------------------------------- - - - - - - - - - - - - - - - +
: Payload Data continued ... :
+ - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
| Payload Data continued ... |
+---------------------------------------------------------------+
แก้ไขปัญหาด้านความปลอดภัยแล้ว
- เพิ่ม
Sec-WebSocket-Key
และSec-WebSocket-Accept
แทนแป้น 3 แป้นของ HyBi 00 เบราว์เซอร์จะให้ตัวเลขที่สร้างขึ้นแบบสุ่มแก่Sec-WebSocket-Key
จากนั้นเซิร์ฟเวอร์จะใช้ GUID เฉพาะ (258EAFA5-E914-47DA-95CA-C5AB0DC85B11
) ของโปรโตคอล WebSocket และ SHA1 / BASE64 ฯลฯ เพื่อแสดงผลSec-WebSocket-Accept
เพื่อให้เบราว์เซอร์ยืนยันได้ว่าเข้าใจ WebSocket ซึ่งเป็นการป้องกันการโจมตีแบบข้ามโปรโตคอล - ในแต่ละเฟรม คุณจำเป็นต้องมีการมาสก์เฟรม เพื่อป้องกันการใช้ข้อมูลแคชบนพร็อกซี มีการเพิ่ม
Sec-WebSocket-Origin
เพื่อป้องกันการเข้าถึงจากสคริปต์ที่ผู้ให้บริการไม่รู้จัก - มีการเพิ่ม
Sec-WebSocket-Origin
แทนคีย์ต้นทางของ HyBi 00 เพื่อป้องกันการเข้าถึงสคริปต์ที่ผู้ให้บริการไม่รู้จัก โปรดทราบว่านี่เป็นเพียง "Origin
" ใน HyBi 11
การเปลี่ยนแปลง JS API
subprotocol
สามารถเป็นอาร์เรย์ได้แล้ว ทำให้เป็นลายเซ็นเมธอดของnew WebSocket(String url, Array subprotocol)
- แอตทริบิวต์
.protocol
[สตริง] - แอตทริบิวต์
.binaryType
[Blob|ArrayBuffer] .extension
[สตริง]- เพิ่มรหัสสถานะและเหตุผล (สาเหตุที่การเชื่อมต่อถูกปิด) ไปยัง
CloseEvent
แล้ว มีการเปลี่ยนแปลงฟังก์ชันclose()
ให้ยอมรับอาร์กิวเมนต์ 2 ตัวนี้ด้วย
ส่วนขยาย
- เพิ่ม
Sec-WebSocket-Extensions
แล้ว ส่วนขยายที่เสนอ ได้แก่ deflate-frame
ทำให้เฟรมบีบอัดที่ต้นทางและดึงข้อมูลที่ปลายทางx-google-mux
เพื่อรองรับการมัลติเพล็กซ์แต่ยังอยู่ในขั้นเริ่มต้น
HyBi 00 กับ HyBi 10 ในทั้งเซิร์ฟเวอร์และเบราว์เซอร์ต่างๆ ร่วมด้วยหรือไม่
- การใช้งานเซิร์ฟเวอร์จะรองรับทั้ง HyBi 00 และ HyBi 10 ได้โดยดูที่ส่วนหัว HTTP ของแฮนด์เชค อย่างไรก็ตาม เราไม่แนะนำให้รองรับ HyBi 00 เนื่องจากเป็นที่ทราบว่ามีความเสี่ยง
- WebSocket JavaScript API มีความคล้ายคลึงกันอย่างมากในเวอร์ชันเก่าและเวอร์ชันใหม่ แต่อย่างที่กล่าวไว้ข้างต้น เราไม่แนะนำให้รองรับ HyBi 00 เนื่องจากเป็นที่ทราบว่ามีความเสี่ยง
เบราว์เซอร์ใดรองรับ HyBi 10 บ้าง
- Chrome 14 รองรับโปรโตคอล HyBi 10 แม้ว่าการเปลี่ยนแปลง WebSocket JavaScript API ที่กล่าวถึงข้างต้นจะยังคงอยู่ นอกจากนี้ Firefox 7 มีแผนจะสนับสนุน HyBi 10 ด้วย