## **HTTP和HTTPS的基本概念** HTTP（HyperText Transfer Protocol）：是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输减少。 HTTPS（Hyper Text Transfer Protocol Secure）：是以安全为目标的HTTP通道，简单讲是HTTP的安全版，即HTTP下加入SSL（Secure Sockets Layer）层，HTTPS的安全基础是SSL（Secure Sockets Layer），因此加密的详细内容就需要SSL。 HTTPS协议的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。 ## HTTP与HTTPS的安全性 HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，所以安全性是很低的。简单的说，http是HTTP协议运行在TCP之上。所有传输的内容都是明文，客户端和服务器端都无法验证对方的身份。因此，HTTP协议不适合传输一些敏感信息，比如：信用卡号、密码等支付信息。 为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS，为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。对比http，https是HTTP运行在SSL/TLS之上，SSL/TLS运行在TCP之上。所有传输的内容都经过加密，加密采用对称加密，但对称加密的密钥用服务器方的证书进行了非对称加密。此外客户端可以验证服务器端的身份，如果配置了客户端验证，服务器方也可以验证客户端的身份。（关于加密，推荐这篇文章http://blog.csdn.net/say_from_wen/article/details/77870849） 关于SSL/TLS，可以稍微看下这个文章：https://kb.cnblogs.com/page/197396/ 如果你要更详细并且你的英文和耐心都足够好，去吧，大神： RFC文档 ## HTTP与HTTPS的区别 简单的总结一下： https协议需要到ca申请证书，一般免费证书较少，因而需要一定费用。 http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。 http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。 http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。 ## **HTTP详解 ## HTTP协议特点** 1.支持客户/服务器模式。 2.简单快速：客户向服务器请求服务时，只需传送请求方法和路径。请求方法常用的有GET、HEAD、POST。每种方法规定了客户与服务器联系的类型不同。由于HTTP协议简单，使得HTTP服务器的程序规模小，因而通信速度很快。 3.灵活：HTTP允许传输任意类型的数据对象。正在传输的类型由Content-Type加以标记。 4.无连接：无连接的含义是限制每次连接只处理一个请求。服务器处理完客户的请求，并收到客户的应答后，即断开连接。采用这种方式可以节省传输时间。 5.无状态：HTTP协议是无状态协议。无状态是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。另一方面，在服务器不需要先前信息时它的应答就较快。 ## HTTP协议之URL HTTP URL (URL是一种特殊类型的URI，包含了用于查找某个资源的足够的信息)的格式如下： http://host[“:”port][abs_path] http表示要通过HTTP协议来定位网络资源；host表示合法的Internet主机域名或者IP地址；port指定一个端口号，为空则使用缺省端口80；abs_path指定请求资源的URI；如果URL中没有给出abs_path，那么当它作为请求URI时，必须以“/”的形式给出，通常这个工作浏览器自动帮我们完成。 例如: 1、输入：www.guet.edu.cn 浏览器自动转换成：http://www.guet.edu.cn/ 2、http:192.168.0.116:8080/index.jsp HTTP协议之请求 一个HTTP请求报文由请求行（request line）、请求头部（header）、空行和请求数据4个部分组成，下图给出了请求报文的一般格式。  请求行 请求行分为三个部分：请求方法、请求地址和协议版本。 ## **请求方法** HTTP/1.1 定义的请求方法有8种：GET、POST、PUT、DELETE、PATCH、HEAD、OPTIONS、TRACE。 最常的两种GET和POST，如果是RESTful接口（Representational State Transfer 可以了解下：https://www.cnblogs.com/hicjiajia/p/4658790.html）的话一般会用到GET、POST、DELETE、PUT。 GET　　　　请求获取Request-URI所标识的资源 POST　　　 在Request-URI所标识的资源后附加新的数据 HEAD　　　 请求获取由Request-URI所标识的资源的响应消息报头 PUT　　　　 请求服务器存储一个资源，并用Request-URI作为其标识 DELETE　　 请求服务器删除Request-URI所标识的资源 TRACE　　 请求服务器回送收到的请求信息，主要用于测试或诊断 CONNECT　 保留将来使用 OPTIONS　 请求查询服务器的性能，或者查询与资源相关的选项和需求 ## **请求地址** URL:统一资源定位符，是一种自愿位置的抽象唯一识别方法。 组成：<协议>：//<主机>：<端口>/<路径> 端口和路径有时可以省略（HTTP默认端口号是80）  ## **请求头部** 请求头部为请求报文添加了一些附加信息，由“名/值”对组成，每行一对，名和值之间使用冒号分隔。 常见请求头如下：  请求头部的最后会有一个空行，表示请求头部结束，接下来为请求数据，这一行非常重要，必不可少。 ## **请求数据** 可选部分，比如GET请求就没有请求数据。（因为它是写在URL中的） 下面是一个POST方法的请求报文： ``` POST 　/index.php　HTTP/1.1 　　 请求行 Host: localhost User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:10.0.2) Gecko/20100101 Firefox/10.0.2　　请求头 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8 Accept-Language: zh-cn,zh;q=0.5 Accept-Encoding: gzip, deflate Connection: keep-alive Referer:http://localhost/ Content-Length：25 Content-Type：application/x-www-form-urlencoded 　　空行 username=aa&password=1234　　请求数据 ``` ## **HTTP协议之响应** HTTP响应报文主要由状态行、响应头部、空行以及响应数据组成。  ## **状态行** 由3部分组成，分别为：协议版本，状态码，状态码描述。 其中协议版本与请求报文一致，状态码描述是对状态码的简单描述，所以这里就只介绍状态码。 ## **状态码** 状态代码为3位数字。 1xx：指示信息–表示请求已接收，继续处理。 2xx：成功–表示请求已被成功接收、理解、接受。 3xx：重定向–要完成请求必须进行更进一步的操作。 4xx：客户端错误–请求有语法错误或请求无法实现。 5xx：服务器端错误–服务器未能实现合法的请求。 下面列举几个常见的：  ## **响应头部** 与请求头部类似，为响应报文添加了一些附加信息 常见响应头部如下： ## **响应数据** 用于存放需要返回给客户端的数据信息。 下面是一个响应报文的实例：（在开发中，我们需要自定义类实现Interceptor接口打印响应的数据，帮助我们乃至服务端更好的定位错误，如果您需要，可@我或自行www.baidu.com） HTTP/1.1 200 OK　　状态行 Date: Sun, 17 Mar 2013 08:12:54 GMT　　响应头部 Server: Apache/2.2.8 (Win32) PHP/5.2.5 X-Powered-By: PHP/5.2.5 Set-Cookie: PHPSESSID=c0huq7pdkmm5gg6osoe3mgjmm3; path=/ （重点关注下） Expires: Thu, 19 Nov 1981 08:52:00 GMT Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 Pragma: no-cache Content-Length: 4393 （重点关注下） Keep-Alive: timeout=5, max=100 Connection: Keep-Alive Content-Type: text/html; charset=utf-8 （重点关注下） 　　空行 <html>　　响应数据 <head> <title>HTTP响应示例<title> </head> <body> Hello HTTP! </body> </html> ## **Content-Type学习 ## 常见的媒体格式类型如下：** text/html ： HTML格式 text/plain ：纯文本格式 text/xml ： XML格式 image/gif ：gif图片格式 image/jpeg ：jpg图片格式 image/png：png图片格式 以application开头的媒体格式类型： application/xhtml+xml ：XHTML格式 application/xml ： XML数据格式 application/atom+xml ：Atom XML聚合格式 application/json ： JSON数据格式 application/pdf ：pdf格式 application/msword ： Word文档格式 application/octet-stream ： 二进制流数据（如常见的文件下载） application/x-www-form-urlencoded ： 中默认的encType，form表单数据被编码为key/value格式发送到服务器（表单默认的提交数据的格式） 另外一种常见的媒体格式是上传文件之时使用的： multipart/form-data ： 需要在表单中进行文件上传时，就需要使用该格式 以上就是我们在日常的开发中，经常会用到的若干content-type的内容格式。 ## **HTTPS详解** HTTPS上面已经介绍就不多了，下面介绍下HTTPS具体是如何进行加密，解密，验证的，且看下图 **1. 客户端发起HTTPS请求** 这个没什么好说的，就是用户在浏览器里输入一个https网址，然后连接到server的443端口。 **2. 服务端的配置** 采用HTTPS协议的服务器必须要有一套数字证书（CA证书），可以自己制作，也可以向组织申请。区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用受信任的公司申请的证书则不会弹出提示页面(startssl就是个不错的选择，有1年的免费服务)。这套证书其实就是一对公钥和私钥。 **3. 传送证书** 这个证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，过期时间等等。 **4. 客户端解析证书** 这部分工作是有客户端的TLS（Transport Layer Security 安全传输层协议 用于在两个通信应用程序之间提供保密性和数据完整性）来完成的，首先会验证公钥是否有效，比如颁发机构，过期时间等等，如果发现异常，则会弹出一个警告框，提示证书存在问题。如果证书没有问题，那么就生成一个随机值(AES秘钥)。然后用证书对该随机值进行加密。 **5. 传送加密信息** 这部分传送的是用证书加密后的随机值，目的就是让服务端得到这个随机值，以后客户端和服务端的通信就可以通过这个随机值来进行加密解密传送的数据了。 **6. 服务段加密信息** 服务端用私钥解密后，得到了客户端传过来的随机值(私钥)，然后把内容通过该值进行对称加密。所谓对称加密就是，将信息和私钥通过某种算法混合在一起，这样除非知道私钥，不然无法获取内容，而正好客户端和服务端都知道这个私钥，所以只要加密算法够彪悍，私钥够复杂，数据就够安全。 **7. 传输加密后的信息** 这部分信息是服务段用私钥加密后的信息，可以在客户端被还原 **8. 客户端解密信息** 客户端用之前生成的私钥解密服务段传过来的信息，于是获取了解密后的内容。整个过程第三方即使监听到了数据，也束手无策。 如何验证证书的的合法性 首先被吊销的证书是无效的，那我们怎么样验证证书是否有效呢？验证正式是否吊销可以采用黑名单方式或者OCSP方式。黑名单就是定期从CA下载一个名单列表，里面有吊销的证书序列号，自己在本地比对一下就行。优点是效率高。缺点是不实时。OCSP是实时连接CA去验证，优点是实时，缺点是效率不高。采用这两种方式来验证证书有否有效。 # **HTTPS的优缺点** ## 优： ### **1、SEO方面** ### 谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”。 ### **2、安全性** 尽管HTTPS并非绝对安全，掌握根证书的机构、掌握加密算法的组织同样可以进行中间人形式的攻击，但HTTPS仍是现行架构下最安全的解决方案，主要有以下几个好处： （1）、使用HTTPS协议可认证用户和服务器，确保数据发送到正确的客户机和服务器； （2）、HTTPS协议是由SSL/TLS+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全，可防止数据在传输过程中不被窃取、改变，确保数据的完整性。 （3）、HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人攻击的成本。 ## 缺： ### **1、SEO方面** 据ACM CoNEXT数据显示，使用HTTPS协议会使页面的加载时间延长近50%，增加10%到20%的耗电，此外，HTTPS协议还会影响缓存，增加数据开销和功耗，甚至已有安全措施也会受到影响也会因此而受到影响。 而且HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。 最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。 ### **2、经济方面** （1）、SSL证书需要钱，功能越强大的证书费用越高，个人网站、小网站没有必要一般不会用。 （2）、SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗（SSL有扩展可以部分解决这个问题，但是比较麻烦，而且要求浏览器、操作系统支持，Windows XP就不支持这个扩展，考虑到XP的装机量，这个特性几乎没用）。 （3）、HTTPS连接缓存不如HTTP高效，大流量网站如非必要也不会采用，流量成本太高。 （4）、HTTPS连接服务器端资源占用高很多，支持访客稍多的网站需要投入更大的成本，如果全部采用HTTPS，基于大部分计算资源闲置的假设的VPS的平均成本会上去。 （5）、HTTPS协议握手阶段比较费时，对网站的相应速度有负面影响，如非必要，没有理由牺牲用户体验。 ———————————————— 版权声明：本文为CSDN博主「say_from_wen」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。 原文链接：https://blog.csdn.net/say_from_wen/article/details/78710896