Http和Https

一、Http和Https的发展历史##

什么是Http？

超文本传输协议，是一个 基于请求和响应、无状态的应用层协议，
常基于TCP/IP协议传输数据，互联网上应用最为广泛的一种网络协议，
所有的WWW文件都必须遵守这个协议。
设计Http的初衷是为了提供一种发布和接收HTML页面的方法。

Http报文格式什么是HTTPS

HTTPS是身披SSL外壳的HTTP。HTTPS是一种通过计算机网络进行安全通信的传输协议，经由HTTP进行通信，
利用SSL/TLS建立安全信道，加密数据包。HTTPS使用的主要目的是提供对网站服务器的身份认证，
同时保证交换数据的隐私和完整性。
ps:TLS是传输加密协议，前身是SSL协议

二、HTTPvsHTTPS

HTTP特点
1、无状态：协议对客户端没有状态存储，对事物处理没有“记忆”能力，比如访问一个网站需要反复进行登录操作。
2、无连接：HTTP/1.1之前，由于无连接的特点，每次请求需要通过TCP三次握手四次挥手，和服务器重新建立建立。比如某个客户机在短时间多次请求同一个资源，服务器并不能区别是否已经响应过用户的请求，所以每次需要重新响应请求，需要耗费不必要的时间和流量。
3、基于请求和响应：基本的特性，由客户端发起请求，服务端响应。
4、简单快速、灵活。
5、通信使用明文，请求和响应不会对通信双方进行确认，无法保护数据的完整性。
PS：针对无状态的策略：
1、通过Cokkie。Session技术
2、HTTP1.1持久连接，只要任意一端没有明确提出断开连接，则保持TCP连接状态。

HTTPS的特点
1、内容加密：采用混合加密技术，中间者无法直接查看明文内容。
2、验证身份：通过证书认证客户端访问的是自己的服务器。
3、保护数据完整性：防止传输的内容被中间者冒充或者篡改。
4、非明文传输

三、HTTP通信传输

1、建立TCP连接
2、Web浏览器向Web服务器发送请求命令（请求方法 url HTTP版本）
3、Web浏览器发送请求头信息
4、Web服务器应答，应答的第一部分是版本号和协议状态码
5、Web服务器发送应答头信息，空行结束
6、Web服务器向浏览去发送数据，以Content-Type应答头信息所描述的格式发送用户所请求的实际数据
7、Web服务器关闭TCP连接

客户端输入URL回车，DNS解析域名得到服务器的IP地址，服务器在80端口监听客户端的请求，端口通过TCP/IP协议建立连接，HTTP属于TCP/IP模型中的应用层协议，所以通信的过程其实是对应用数据的入栈和出栈。

报文从应用层到传输层，传输层经过三次握手建立连接，四次挥手进行释放连接。

四、HTTPS实现原理

https交互过程：使用公钥加密后，必须使用私钥解密，若解密失败，则交互结束。

https连接建立流程图

1）客户端通过发送Client Hello报文开始SSL通信。报文中包含客户端支持的SSL的指定版本、加密组件（Cipher Suite）列表（所使用的加密算法及密匙长度等）；
2）服务器可进行SSL通信时，会以Server Hello报文作为应答。和客户端一样，在报文中包含SSL版本以及加密组件。服务器的加密组件内容时从接收到的客户端加密组件内筛选出来的；
3）服务器发送证书报文。报文中包含公开密匙证书；
4）最后服务器发送Server Hello Done报文通知客户端，最初阶段的SSL握手协商部分结束；
5）SSL第一次握手结束之后，客户端以Client Key Exchange报文作为回应。报文包含通信加密中使用的一种被称为Pre-master secret的随机密码串。该报文已用步骤3中的公开密匙进行加密；
6）接着客户端继续发送Change Cipher Spec报文。该报文会提示服务器，在此报文之后的通信会采用Pre-master secret密匙加密；
7）客户端发送Finished报文。该报文包含连接至今全部报文的整体校验值。这次握手协商是否能够成功，要以服务器是否能够正确解密该报文作为判定标准；
8）服务器同样发送Change Cipher Spec报文；
9）服务器同样发送Finished报文；
10）服务器和客户端的Finished报文交换完毕之后，SSL连接就算建立完成。当然，通信会收到SSL的保护。从此处开始进行应用层协议的通信，即发送HTTP请求；
11）应用层协议通信，即发送HTTP相应；
12）最后由客户端断开连接。断开连接时，发送close_notify报文。上图做了一些省略，这步之后再发送TCP FIN报文来关闭与TCP的通信。
另外，在以上流程图中，应用层发送数据时会附加一种叫做MAC（Message Authentication Code）的报文摘要。MAC能够查知报文是否遭到篡改，从而保证报文的完整性。

数字证书
在上述的交互中，有可能遇到中间人攻击（客户端的请求被中间人劫持），就会伪装成“假冒客户端”和服务器进行通信或者伪装成“假冒服务器”和客户服务器进行通信。
服务器首先生成公私钥，将公钥提供给相关机构（CA），CA将公钥放入数字证书并将数字证书颁布给服务器，此时服务器就不是简单的把公钥给客户端，而是给客户端一个数字证书，数字证书中加入了一些数字签名的机制，保证了数字证书一定是服务器给客户端的。
作用：

1、身份授权：确保浏览器访问的网站是经过CA验证的可信任的网站。
2、分发公钥：每个数字证书都包含了注册者生成的公钥（验证确保是合法的，非伪造的公钥），在SSL握手时会通过certificate消息传输给客户端。
3、验证证书合法性：客户端接收到数字证书后，会对证书合法性进行验证，只有验证通过后的证书，才能够进行后续通信过程。