如何为 WebSocket 应用设计授权异常测试

WebSocket 授权问题可能发生在握手阶段，也可能出现在连接建立后的令牌到期或权限变化期间；代理或网关故障则属于另一类链路问题。测试时应按端点契约分别注入并记录可观测证据，不能把所有失败都归为授权错误或只依赖关闭码判断。

握手拒绝、令牌过期和链路中断需要分别测试

• 失效阶段：握手阶段 ｜ 触发方式：按端点契约设置无效凭据或权限 ｜ 客户端可观测信号：HTTP 握手状态（若客户端可见）或握手失败 ｜ 期望行为：不进入未授权业务流
• 失效阶段：连接建立后 ｜ 触发方式：令牌到期、权限撤销或重新授权 ｜ 客户端可观测信号：客户端事件、实际 Close 帧/码及服务端记录（按可用性采集） ｜ 期望行为：按端点契约刷新、停止或重新连接
• 失效阶段：网关或代理 ｜ 触发方式：仅在测试范围适用时注入代理认证或链路故障 ｜ 客户端可观测信号：代理挑战、客户端异常或代理/网关记录 ｜ 期望行为：按实际故障层处理，不将代理认证与业务授权混为一类

HTTP 407 通常表示代理要求认证，401/403 则由目标服务或应用鉴权层产生，但客户端可能将握手失败表现为异常，而非可读取的 HTTP 响应。测试报告应记录响应来源和实际可观测字段，不把协议层状态、WebSocket Close 码与业务授权结果混为同一字段。

故障注入位置决定结论指向哪一层

若注入点位于 HTTP 代理握手或代理层认证，可参考HTTP 代理指南核对协议与接入背景；测试范围应限定为当前应用实际使用的代理类型。客户端参数配置可查阅代理设置帮助。

按实际测试范围设置注入点：应用鉴权层可测试握手拒绝和权限变化；令牌生命周期层可测试到期、刷新和连接内续期；代理认证只有在应用确实使用 HTTP 代理认证且测试环境支持时才纳入。若业务采用 IP 白名单，应放在提供商明确支持的对应场景中，区分访问代理的客户端源 IP 与代理访问目标时的出口 IP，不假定更换目标出口必然触发 407。

三类观测证据不同：代理层按代理协议记录认证挑战或客户端异常；应用层记录目标服务的握手结果或业务拒绝；令牌生命周期记录服务端授权事件和客户端后续行为。到期场景应由受控服务端或测试授权系统触发，不通过修改客户端系统时钟混入其他超时变量。具体白名单能力、绑定的是哪一侧地址及拒绝表现，均按对应产品契约验证。

WebSocket 授权故障应按单变量逐项注入

基线正常和独立测试账号是注入前提

注入前先用正常凭据确认连接、消息收发和心跳均符合预期，并使用专用测试账号。生产账号和在线用户可能受到授权变更或风控影响，不应作为故障注入对象。

每轮只改变一个条件，才能判断故障原因

每轮只改变凭据、权限或令牌状态中的一个条件，才能把结果归因到具体变量。预期结果和恢复动作以端点契约为准；权限撤销时，客户端可能需要停止访问，而不是重连。

未观察到授权信号时，不应推断故障原因

握手和连接信号的采集方式取决于客户端。浏览器标准 WebSocket API 通常不暴露完整握手状态和响应头，可记录 open/error/close 等可用事件；状态码与响应头可从受控网络、代理或源站日志采集，无法取得时标注 N/A。HTTP 握手状态、本地关闭事件码、实际 Close 帧和业务授权结果应分开记录。还要记录客户端的重试、刷新与重新授权行为；缺少证据的字段标注“未观察到”，不推断填补。

授权故障恢复需要满足三项指标

恢复策略应按故障类型和端点契约区分：可刷新令牌可能刷新后重连或在连接内续期；权限撤销或永久无权应停止重试并拒绝越权操作。验证无权期间业务消息是否被拒绝，以及重新授权后订阅、未确认操作和去重状态是否按契约恢复。

恢复判据应在测试前按业务契约确定。单独验证连接重新打开，并不能证明授权恢复或业务状态已正确重建。

注入记录和停止条件决定测试能否安全复现

• 注入类型：代理认证失败（仅适用时） ｜ 实际握手状态/本地事件/Close 帧：代理挑战或客户端异常 ｜ 日志证据：代理认证记录及目标到达证据 ｜ 客户端行为：按代理认证策略处理 ｜ 恢复验收：使用有效测试凭据后按契约验证
• 注入类型：握手被拒 ｜ 实际握手状态/本地事件/Close 帧：HTTP 握手状态（客户端可见时） ｜ 日志证据：目标服务鉴权日志 ｜ 客户端行为：不进入未授权业务流 ｜ 恢复验收：依据端点授权规则验证
• 注入类型：令牌到期/权限撤销 ｜ 实际握手状态/本地事件/Close 帧：客户端事件、Close 帧（若有）及业务结果 ｜ 日志证据：服务端令牌/授权日志 ｜ 客户端行为：按契约刷新、停止或重新连接 ｜ 恢复验收：验证未授权期间拒绝业务及恢复后状态

停止条件是：影响共享测试账号、触发代理侧限流，或者需要改动生产配置时立即停止。

FAQ

授权失败和网络断开在客户端都表现为掉线，怎么区分？

先看客户端实际暴露的事件，再对齐代理和服务端日志。浏览器可能只报告 error 或异常关闭，无法直接读取握手状态；没有 Close 帧也不能单独证明是网络问题。将握手响应、客户端本地关闭事件、线上 Close 帧和服务端业务拒绝分开记录。

关闭码 1006 说明什么？

1006 是客户端用于表示异常关闭且未收到正常 Close 帧的保留码，不是线上 Close 帧，也不指向具体根因。浏览器可能只暴露 error 或异常关闭事件；应结合客户端日志与代理、服务端记录判断。

能拿生产账号做这类注入吗？

不应对生产账号或真实用户做授权异常注入。使用隔离的测试环境和获准的专用测试账号；若测试权限状态变化，也应先确认不会影响生产用户或共享资源。

授权故障的类型不同，客户端收到的状态码、关闭码和恢复方式也不同。接入参数可查阅代理设置帮助。原 407 排障和故障排查中心链接当前返回 404，不保留失效目标。