WebSocket: Comunicazione Real-Time sul Web

WebSocket: Comunicazione Real-Time sul Web

I WebSocket forniscono comunicazione full-duplex su singola connessione TCP. Standardizzati in RFC 6455 (2011). Essenziali per app real-time: chat, gaming, aggiornamenti live, editing collaborativo.

Panoramica Protocollo

Handshake HTTP Upgrade: Client invia Upgrade: websocket, server risponde 101 Switching Protocols. Poi frame binari (opcode: text, binary, close, ping, pong). Masking: Frame client→server mascherati (sicurezza). Estensioni: permessage-deflate (compressione). Subprotocolli: Protocolli custom su WS (es. graphql-ws, mqtt).

Ciclo Vita Connessione

Connect → Handshake → Open → Scambio messaggi (bidirezionale) → Ping/Pong (heartbeat) → Close (clean: 1000, abnormal: 1006). Riconnessione: Exponential backoff, jitter. Gestione stato: Connecting, Open, Closing, Closed.

Implementazione Server

Node.js: ws (veloce, minimale), Socket.IO (fallback, room, auto-reconnect), uWebSockets.js (high performance). Go: gorilla/websocket, nhooyr/websocket. Python: websockets, aiohttp. Rust: tokio-tungstenite, axum. Java: Netty, Spring WebSocket.

Scaling WebSocket

Sfida: Connessioni stateful. Soluzioni: Sticky sessions (load balancer route a stessa istanza). Redis Pub/Sub: Broadcast messaggi across istanze. Pub/Sub esterno: Pusher, Ably, Centrifugo, Socket.IO Redis adapter. Stato connessione in store condiviso (Redis). Scaling orizzontale con consistent hashing.

Strategie Fallback

Long Polling: Client richiede, server tiene finché dati. Server-Sent Events (SSE): Unidirezionale, HTTP-based, auto-reconnect, più semplice. HTTP/2 Streams: Multiplexed, ma solo server-push. Socket.IO: Fallback automatico (WebSocket → Polling). Scegli basato su necessità supporto browser.

WebSocket vs SSE vs WebRTC

WebSocket: Bidirezionale, supporto binary, overhead basso dopo handshake, scaling complesso. SSE: Unidirezionale (server→client), HTTP/2 friendly, auto-reconnect, più semplice, limite 6 connessioni per dominio (HTTP/1.1). WebRTC: Peer-to-peer, ultra-bassa latenza, media streaming, complesso (ICE, STUN, TURN), non per client-server.

Considerazioni Sicurezza

Usa WSS (WebSocket Secure) su TLS. Valida header Origin durante handshake (protezione CSRF). Autentica durante handshake (token in query/auth header). Rate limiting. Limiti dimensione messaggio. Validazione input. Non esporre errori interni.

Testing e Debugging

Chrome DevTools: Network → tab WS (frame, messaggi). wscat: Client CLI. Postman: Supporto WebSocket. Automatizzato: Jest + ws, Artillery.io per load testing. Monitora: Conteggio connessioni, message rate, latenza, error rate.