HTTP请求方法详解

Web开发最常见的就是HTTP(超文本传输协议)通信协议，该协议（HTTP）设计的目的是确保服务器与客户端之间的正确通信， 

HTTP请求方法并不是只有GET和POST，只是最常用的。据RFC2616标准（现行的HTTP/1.1）得知，通常有以下8种方法：OPTIONS、GET、HEAD、POST、PUT、DELETE、TRACE和CONNECT。这8种我们一起来分析一下，其中最常用的也就是前4种。最最常用的就是前2个。我们一起来看看，^_^

（1）GET请求

Http get 方法： 主要用于向指定的URL（URI）请求资源（资源文件或是数据均可）， 可以带参数也可以不带参数， 带参数时，参数是明文传递，你可以在浏览器的地址栏中看到参数名及参数值，get安全性不高，所以常用于安全性要求低的场合， 比如登录后请求数据。

经常使用GET提交方法，因为通过GET来提交表单没有任何负面影响并且是幂等的。

从理论上讲，如果请求具有幂等性就可以使用GET，所谓幂等是指多个请求返回相同的结果。

（2）POST请求

Http post方法：主要是向指定的URL（URI）提交数据, 通常用于表单发送，psot所传递的数据或参数不是已明文形式存在的，而是封装后的，因此相对安全系数高，像注册、登录、提交表单都是用该方法实现的。 

实际上，相应的服务器方法可能会以某种方式修改状态，所以一般情况下这是不成立的，只是一种标准。GET与POST的区别在于所能携带信息的大小，在许多情况下，浏览器和服务器会限制URL的长度（GET利用URL向服务器发送数据）。一般来讲，如果请求是从服务器获取数据应该使用GET；换句话说，要避免通过GET方式改变服务器上的状态。当改变服务器上的状态时应该使用POST方法，POST不会限制发送给服务器的信息的大小，而且POST请求不能保证是幂等的。在实际开发过程中，大多数请求可能都是GET请求，不过如果需要，也完全可以使用POST。

（3）PUT请求
Http put方法： 功能跟post相似，用来将信息放到请求的URL（URI）上，put方法是幂等方法， post非幂等方法，put在请求时容易造成数据冗余， 而post则不然。

（4）DELETE
Http delete方法： 用于删除请求URL上的某个资源， 该请求返回状态有3.
1. 200：表示删除请求被成功执行，返回被删除的资源
2. 202：表示删除请求被接受，但还没有被执行
3. 204：表示删除请求被执行，但没有返回被删除的资源
HTTP提供了一个与PUT方法对应的DELETE方法。一个DELETE请求将需要从Web服务器删除的内容指定为请求行中的资源部分。
DELETE方法唯一有趣的地方在于当你接收了一个标识为200 OK的响应的时候，那并不意味着指定的资源已经被删除了。那仅仅说明服务器接收到了删除资源的命令。这一例外允许了出于安全考虑的人为的干预。

（5）HEAD
官方定义
HEAD方法跟GET方法相同，只不过服务器响应时不会返回消息体。一个HEAD请求的响应中，HTTP头中包含的元信息应该和一个GET请求的响应消息相同。这种方法可以用来获取请求中隐含的元信息，而不用传输实体本身。也经常用来测试超链接的有效性、可用性和最近的修改。
一个HEAD请求的响应可被缓存，也就是说，响应中的信息可能用来更新之前缓存的实体。如果当前实体跟缓存实体的阈值不同（可通过Content-Length、Content-MD5、ETag或Last-Modified的变化来表明），那么这个缓存就被视为过期了。
简而言之
HEAD请求常常被忽略，但是能提供很多有用的信息，特别是在有限的速度和带宽下。主要有以下特点：
1、只请求资源的首部；
2、检查超链接的有效性；
3、检查网页是否被修改；
4、多用于自动搜索机器人获取网页的标志信息，获取rss种子信息，或者传递安全认证信息等


（6）OPTIONS
OPTIONS请求方法的主要用途有两个：
1、获取服务器支持的HTTP请求方法；也是黑客经常使用的方法。
2、用来检查服务器的性能。例如：AJAX进行跨域请求时的预检，需要向另外一个域名的资源发送一个HTTP OPTIONS请求头，用以判断实际发送的请求是否安全。


以下是官方文档：
OPTIONS方法是用于请求获得由Request-URI标识的资源在请求/响应的通信过程中可以使用的功能选项。通过这个方法，客户端可以在采取具体资源请求之前，决定对该资源采取何种必要措施，或者了解服务器的性能。

该请求方法的响应不能缓存。

如果这个OPTIONS请求包含一个正文（有Content-Length或Transfer-Encoding存在），则必须有Content-Type来指定媒体类型。虽然规范里没有定义这种正文的用法，但是HTTP将来的扩展可能会用它来查询服务器上更详细的信息。不支持该扩展的服务器可以忽略该请求正文。
如果该URI是一个星号（“*”），OPTIONS请求将试图应用于服务器，而不是某个指定资源。由于服务器的通信选项通常依赖于资源，所以此“*”请求只能作为“ping”或者“no-op”方法；或者用来测试服务器的性能。例如，用来测试HTTP/1.1代理。


如果该URI不是星号，则只能用来获取该资源通信中可用的选项。
得到的200响应应该包含一个头域，指明服务器实现的和适用于该资源的可选特征（如：Allow），可能还包括该规范尚未定义的扩展。如果有响应正文，则应包含关于通信选项的信息。本规范没有定义该正文格式，但可能在HTTO将来的扩展中定义。可以利用内容协商来选择合适的响应格式。如果没有响应正文，响应必须包含Content-Length，并且值为“0”。
请求头的Max-Forwards用来请求特定代理。当代理收到一个允许URI转发的OPTIONS请求，则检查Max-Forwards。如果Max-Forwards值为0，则不能转发该消息；相反，代理会将自己的通信选项去响应。如果Max-Forwards是正整数，代理转发请求的时候会将该值减1。如果请求中没有Max-Forwards，转发的请求也不会有。


（7）TRACE
TRACE_Method是HTTP（超文本传输）协议定义的一种协议调试方法，该方法会使服务器原样返回任意客户端请求的任何内容。
TRACE和TRACK是用来调试web服务器连接的HTTP方式。支持该方式的服务器存在跨站脚本漏洞，通常在描述各种浏览器缺陷的时候，把"Cross-Site-Tracing"简称为XST。攻击者可以利用此漏洞欺骗合法用户并得到他们的私人信息。（这个命令好怕怕，无知好吓人啊）

如何关闭Apache的TRACE请求
 
•虚拟主机用户可以在.htaccess文件中添加如下代码过滤TRACE请求:
 
RewriteEngine on
RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
RewriteRule .* - [F]
 
•服务器用户在httpd.conf尾部添加如下指令后重启apache即可:
 
TraceEnable off 

（8）CONNECT
CONNECT这个方法的作用就是把服务器作为跳板，让服务器代替用户去访问其它网页，之后把数据原原本本的返回给用户。这样用户就可以访问到一些只有服务器上才能访问到的网站了，这就是HTTP代理。说到代理，我想各位在党的旗帜下成长的同学都不会陌生吧。我们使用的网络被称为天朝局域网，它离Internet还有很长的一段路要走。所以，我们就必须越过重重坎坷去摸一摸这个世界本来的样子。哎呀，不小心又扯了一下蛋。下面来说说这个CONNECT方法的用法。
　　CONNECT方法是需要使用TCP直接去连接的，所以不适合在网页开发中使用，不过网页开发中也用不到这玩意儿。要是使用CONNECT方法，首先要让服务器监听一个端口来接收CONNECT方法的请求。这个是服务器软件做的事情，我们只要配置好它就可以了，除非你闲着无聊想自己实现一个这样的服务器。在服务器监听了端口以后就是客户端的请求，我们必须告诉代理服务器我们想要访问哪个Internet服务器。假如我想通过代理访问这个博客（www.web-tinker.com），我就需要建立一个TCP连接，连接到服务器监听的那个端口，然后给服务器发送一个HTTP头。下面就是这个HTTP头的内容：
CONNECT www.web-tinker.com:80 HTTP/1.1
Host: www.web-tinker.com:80
Proxy-Connection: Keep-Alive
Proxy-Authorization: Basic *
Content-Length: 0

　　所有的HTTP头都是类似的，第一行是方法名、主要参数、HTTP版本。接着一行一个参数，最后用两个换行来结束。这个HTTP头其实也没什么好介绍的，唯一一个重点的地方就是星号的部分，这个地方应该填写验证的用户名和密码。而且，用户名和密码也是有固定格式的。要把用户名和密码用冒号连接起来，再经过BASE64的编码后才可以使用。假如用户名是abc密码是123，那么星号的地方就应该换上YWJjOjEyMw==，也就是abc:123经过BASE64编码的结果。
　　发送完这个请求之后，就是服务器端响应请求了。如果用户名和密码验证通过，就会返回一个状态码为200的响应信息。虽然状态码是200，但是这个状态描述不是OK，而是Connection Established。
HTTP/1.1 200 Connection Established

　　如果用户名和密码验证不通过。会返回一个407的状态码，状态表述是Unauthorized。表示没有权限访问代理服务器。
HTTP/1.1 407 Unauthorized

　　验证失败的情况有时候还会带上一堆HTML，这是有些服务器为了让网页上在连接失败是显示用的，如果不是通过浏览器来连接的话无视就好了。无论验证成功还是验证失败，这些服务器返回的信息在不同的服务器软件上会有一些差异。比如有些服务器软件返回这些代码会使用HTTP/1.0，有些则会在后面加上个代表服务器版本的字段。这些信息都无所谓，对于服务器返回的数据，我们关键是看状态码。
　　验证通过之后，我们就可以做普通的HTTP操作了。完全可以把现在的代理服务器看作是请求连接的Internet服务器，也就是说可以像直接访问普通的服务器一样，使用GET、POST等方法来请求Internet服务器上的页面了。我们在发送CONNECT请求的时候就已经告诉了服务器我们需要访问的Internet服务器，上面我用了这个博客的网址。现在我们要访问这个博客的主页就可以发送一个简单的GET请求。
GET / HTTP/1.1
Host: www.web-tinker.com
Content-Length: 0

　　这个就是普通的GET请求的操作了，我就不多说了，这样CONNECT方法的操作就完成了。假如哪天这个博客被墙了，就可以通过这个方式来访问。但是道高一尺魔高一丈，天朝的和谐技术已经不仅仅在与IP屏蔽上了。如果使用HTTP代理访问youtube这种超级和谐的网站就会被拦截下来，毕竟HTTP是明文传输的，不仅是域名，只要网站中有和谐字眼的都会被拦截。所以，这个HTTP代理只能访问一些被屏蔽了IP，但是没有被和谐的太严重的网站。如果需要逃过天朝的网络监视就必须使用加密的连接方式，比如SOCK5代理或者加密的VPN。总之，注意和谐吧。