HTTP

需求背景

HTTP是一种网络协议，所有的html文件都是遵循这个标准进行传输的

HTTP的出现是为了提供一种发布和接收HTML页面的方法

概述

HTTP（Hypertext Transfer Protocol，超文本传输协议），是一种分布式、合作式多媒体系统服务，面向应用层的协议，是Internet中目前使用最广泛的应用层协议。

HTTP协议是基于传输层的TCP协议进行通信，无状态的协议。

URL

URL即统一资源定位符(Uniform Resource Locator)，用来唯一地标识万维网中的某一个文档

URL由协议、主机和端口(默认为80)以及文件名三部分构成

功能

用于在服务器和客户机之间传输超文本文件

请求/响应交互模型

在用户点击URL为http://www.qq.com/index.html的链接后，浏览器和Web服务器执行以下动作

1、浏览器分析超链接中的URL

2、浏览器向DNS请求解析www.qq.com的IP地址

3、DNS将解析出的IP地址返回给浏览器

4、浏览器与服务器建立TCP连接（80端口）

5、浏览器请求文档 ：GET /index.html

6、服务器给出响应，将文档 index.html发送给浏览器

7、释放TCP连接

8、浏览器显示index.html中的内容

连接方式与无状态性

非持久性连接

即浏览器每请求一个web文档，就创建一个新的连接，当文档传输完毕后，连接就立刻被释放

持久性连接

即在一个连接中，可以进行多次文档的请求和响应

无状态性

指同一个客户端（浏览器）第二次访问同一个Web服务器上的页面时，服务器无法知道当前用户曾经访问过

HTTP的无状态性简化了服务器的设计，使其更容易支持大量并发的HTTP请求

HTTPS

需求背景

随着网络通信的电子商务等服务和资源进入人们的生活，人们在享受网络带来的便利的同时，面临着各种各样的安全隐患

传统的很多网站都是基于HTTP协议的

HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全

为了保证这些隐私数据能加密传输，于是设计了SSL(Secure Sockets Layer)协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS

概述

HTTPS（Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，即是在HTTP的基础之上加入了SSL层，因此加密的详细内容就需要SSL

功能

HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层(在HTTP与TCP之间)，这个系统提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面

HTTP协议采用明文传输信息，存在信息窃听、信息篡改和信息劫持的风险，而协议TLS/SSL具有身份验证、信息加密和完整性校验的功能，可以避免此类问题，故我们可以简单的认为HTTPS就是使用TLS/SSL加密的HTTP协议

工作原理

HTTPS在传输数据。握手过程的简单描述：

1、浏览器将自己支持的一套加密规则发送给网站

2、网站从中选出一组加密算法与HASH算法，并将自己的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址，加密公钥，以及证书的颁发机构等信息

3、获得网站证书之后浏览器要做以下工作：

• 验证证书的合法性
• 生成一串随机数的密码，并用证书中提供的公钥加密
• 使用约定好的HASH计算握手消息，并使用生成的随机数对消息进行加密，最后将之前生成的所有信息发送给网站

4、网站接收浏览器发来的数据之后要做以下的操作：

• 使用自己的私钥将信息解密取出密码，使用密码解密浏览器发来的握手消息，并验证HASH是否与浏览器发来的一致
• 使用密码加密一段握手消息，发送给浏览器

5、浏览器解密并计算握手消息的HASH，如果与服务端发来的HASH一致，此时握手过程结束，之后所有的通信数据将由之前浏览器生成的随机密码并利用对称加密算法进行加密

HTTPS架构

SSL

概述

SSL(Secure Socket Layer，安全套接字层)，位于可靠的面向连接的网络层协议和应用层协议之间的一种协议层

SSL通过互相认证、使用数字签名确保完整性、使用加密确保私密性，以实现客户端和服务器之间的安全通讯

该协议由两层组成：SSL记录协议和SSL握手协议

功能

保证传输数据的 保密性

保证传输数据的 完整性

实现通信双方的互相 身份认证

SSL加密

密码：对文本进行编码

密钥：改变密码行为的数字化参数

对称密钥加密系统：编 / 解码使用相同密钥的算法

非对称密钥加密系统：编 / 解码使用不同密钥的算法

数字签名：用来验证报文未被伪造或篡改的校验和

数字证书：由一个可信的组织验证和签发的识别信息

SSL握手

HTTP与HTTPS的区别

1、https协议需要到ca申请证书，一般免费证书很少，需要交费

2、http是超文本传输协议，信息是明文传输的；https则是具有安全性的ssl加密传输协议

3、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443

4、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全