HTTP HTTPS 协议

川长思鸟来 2022-06-09 07:43 282阅读 0赞

## **HTTP** ##

问：什么是HTTP?  
答：HTTP是一个客户端和服务器端请求和响应的标准TCP。其实建立在TCP之上的。

当我们打开百度网页时，是这样的：

[https://www.baidu.com][https_www.baidu.com]

多了个S，其实S表示TLS、SSL。在这里不做解释，因此HTTP的技术基石如图所示：  
![这里写图片描述][SouthEast]  
那HTTP协议呢？HTTP协议（HyperText Transfer Protocol）,即超文本传输协议是用于服务器传输到客户端浏览器的传输协议。Web上，服务器和客户端利用HTTP协议进行通信会话。有OOP思想的得出结论：其会话的结构是一个简单的请求/响应序列，即浏览器发出请求和服务器做出响应。  
![这里写图片描述][SouthEast 1]  
△http 1.0 请求模式

HTTP 1.0 时，浏览器每次访问都要单独建立连接，这会造成资源的浪费。

后来HTTP 1.1可以在一次连接中处理多个请求，并且将多个请求重叠进行

![这里写图片描述][SouthEast 2]  
HTTP协议的主要特点可概括如下：

1.支持客户/服务器模式。  
2.简单快速：客户向服务器请求服务时，只需传送请求方法和路径。请求方法常用的有GET、HEAD、POST。每种方法规定了客户与服务器联系的类型不同。由于HTTP协议简单，使得HTTP服务器的程序规模小，因而通信速度很快。  
3.灵活：HTTP允许传输任意类型的数据对象。正在传输的类型由Content-Type加以标记。  
4.无连接：无连接的含义是限制每次连接只处理一个请求。服务器处理完客户的请求，并收到客户的应答后，即断开连接。采用这种方式可以节省传输时间。  
5.无状态：HTTP协议是无状态协议。无状态是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。另一方面，在服务器不需要先前信息时它的应答就较快。

--------------------

## **HTTP到HTTPS** ##

HTTP 协议由于其简单快速、占用资源少，一直被用于网站服务器和浏览器之间进行数据传输。但是在数据传输的过程中也存在很明显的问题，由于 HTTP 是明文协议，不会对数据进行任何方式的加密。当黑客攻击窃取了网站服务器和浏览器之间的传输报文的时，可以直接读取传输的信息，造成网站、用户资料的泄密。因此 HTTP 不适用于敏感信息的传播，这个时候需要引入 HTTPS（超文本传输安全协议）。  
HTTPS（Hypertext Transfer Protocol Secure ）是一种以计算机网络安全通信为目的的传输协议。在HTTP下加入了SSL层，从而具有了保护交换数据隐私和完整性和提供对网站服务器身份认证的功能，简单来说它就是安全版的 HTTP 。  
![这里写图片描述][SouthEast 3]  
电脑在使用HTTPS方式与Web服务器通信时有以下几个步骤：

1.客户使用https的URL访问Web服务器，要求与Web服务器建立SSL连接。  
![这里写图片描述][SouthEast 4]

2.Web服务器收到客户端请求后，会将网站的证书信息（证书中包含公钥）传送一份给客户端。这就相当与告诉客户端，你访问的服务器没有问题（就好像服务器把一个没有上锁的箱子和钥匙传递给客户端。）  
![这里写图片描述][SouthEast 5]  
![这里写图片描述][SouthEast 6]  
3.客户端的浏览器与Web服务器开始协商SSL连接的安全等级，也就是信息加密的等级。客户端的浏览器根据双方同意的安全等级，建立会话密钥，然后利用网站的公钥将会话密钥加密，并传送给网站。（这就相当于将客户端要发送的信息存进箱子中，然后用钥匙锁上，再传递给服务器）

![这里写图片描述][SouthEast 7]

在这个过程中，即使箱子被拦截了，因为没有服务器的钥匙，也是无法获取到箱子中的信息的

4.Web服务器利用自己的私钥解密出会话密钥。

在技术层面讲HTTPS的传送速度要比HTTP慢平均50%的速度，原因在于创建HTTP的连接只需要3个握手包就能开始显示网页/传输数据，而HTTPS除了3个握手包还需要9个SSL/TLS验证用的TCP数据包。

--------------------

## **详解工作过程的HTTP报文** ##

HTTP报文由从客户机到服务器的请求和从服务器到客户机的响应构成。

一、请求报文格式如下：

请求行
    
    通用信息头
    
    请求头
    
    实体头
    
    （空行）
    
    报文主体

如图，请求我一篇文章时发送的报文内容：  
![这里写图片描述][SouthEast 8]  
对于其中请求报文详解:

1、请求行
    
    方法字段 + URL + Http协议版本
    
    2、通用信息头
    
    Cache-Control头域：指定请求和响应遵循的缓存机制。
    
    keep-alive 是其连接持续有效【在下面百度的例子，会得到验证】
    
    3、请求头
    
    Host头域，脑补吧
    
    Referer头域：允许客户端指定请求URL的资源地址。
    
    User-Agent头域：请求用户信息。【可以看出一些客户端浏览器的内核信息】
    
    4、报文主体
    
    如图中的 “ p=278 ”一般来说，请求主体少不了请求参数。

二、应答报文格式如下：

状态行
    
    通用信息头
    
    响应头
    
    实体头
    
    （空行）
    
    报文主体

如图，就是这篇博客响应的内容:  
![这里写图片描述][SouthEast 9]

对其中响应报文详解：
    
    1、状态行
    
    HTTP协议版本 + 状态码 + 状态代码的文本描述
    
    【比如这里，200 代表请求成功】
    
    2、通用信息头
    
    keep-alive 是其连接持续有效【在下面百度的例子，会得到验证】
    
    Date头域：时间描述
    
    3、响应头
    
    Server头：处理请求的原始服务器的软件信息。
    
    4、实体头
    
    Content-Type头：便是接收方实体的介质类型。（这也表示了你的报文主体是什么。）
    
    （空行）
    
    5、报文主体
    
    这里就是HTML响应页面了，在截图tab页中的response中可查看。

一次简单的请求/响应就完成了。

[https_www.baidu.com]: https://www.baidu.com
[SouthEast]: /images/20220609/51abfdde5eb648b9a5ac5f2dbe593063.png
[SouthEast 1]: /images/20220609/71139c908e184154a8168ddcf1467b42.png
[SouthEast 2]: /images/20220609/ddd430a11d554fd296904a4ea49372b3.png
[SouthEast 3]: /images/20220609/2ce883da4dd446d7af47c69c59bb67d5.png
[SouthEast 4]: /images/20220609/3525be15a15e4a61a1e1209013cbb78f.png
[SouthEast 5]: /images/20220609/a3cdcb44bc4445e796d40bf6b8839a5e.png
[SouthEast 6]: /images/20220609/437685420fbd44358bf232e705bb3286.png
[SouthEast 7]: /images/20220609/e3710569509a4ce5add236e0923c0bcf.png
[SouthEast 8]: /images/20220609/54db2d050a0544af8d92f9a7832eaa18.png
[SouthEast 9]: /images/20220609/db2cb16d8a2f412db4b24c4d7b56ce6b.png