HTTP与HTTPS

一、两种协议的基本概念与区别

HTTP协议：HTTP协议是超文本传输协议的缩写，设计HTTP最初的目的是为了提供一种发布和接收HTML页面的方法。HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此，HTTP协议不适合传输一些敏感信息，比如：信用卡号、密码等支付信息。
HTTPS协议：为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS，为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。
HTTPS和HTTP的区别主要如下：
　　1、https协议需要到ca申请证书，一般免费证书较少，因而需要一定费用。
　　2、http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
　　3、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
　　4、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。

二、HTTP协议详解

HTTP是一个基于TCP/IP通信协议来传递数据的协议，传输的数据类型为HTML 文件、图片文件、 查询结果等。
以访问百度为例：

HTTP特点：
1、http协议支持客户端/服务端模式，也是一种请求/响应模式的协议。
2、简单快速：客户向服务器请求服务时，只需传送请求方法和路径。请求方法常用的有GET、HEAD、POST。
3、灵活：HTTP允许传输任意类型的数据对象。传输的类型由Content-Type加以标记。
4、无连接：限制每次连接只处理一个请求。服务器处理完请求，并收到客户的应答后，即断开连接，但是却不利于客户端与服务器保持会话连接，为了弥补这种不足，产生了两项记录http状态的技术，一个叫做Cookie,一个叫做Session。
5、无状态：无状态是指协议对于事务处理没有记忆，后续处理需要前面的信息，则必须重传。

URI和URL的区别：
HTTP使用统一资源标识符（Uniform Resource Identifiers, URI）来传输数据和建立连接。

• URI：Uniform Resource Identifier 统一资源标识符
• URL：Uniform Resource Location 统一资源定位符

URI 是用来标示 一个具体的资源的，我们可以通过 URI 知道一个资源是什么。

URL 则是用来定位具体的资源的，标示了一个具体的资源位置。互联网上的每个文件都有一个唯一的URL。

2.1、HTTP请求报文和响应报文

请求报文构成：
1、请求行：请求方法+URL+协议版本
2、请求首部
3、请求实体

响应报文构成：
1、状态行：协议版本+状态码+状态描述短语
2、响应首部
3、响应实体

2.2、常用请求方法

• GET：请求指定页面信息。
• POST：向指定资源提交数据并进行处理，数据被包含在请求体中。POST方法可能会导致新的资源被建立或已有资源的修改。
• HEAD：类似GET，但其仅用于获取响应头，响应实体中无内容。
• PUT：从客户端向服务器传送数据并取代指定文档的内容。
• DELETE：请求服务器删除指定页面。

GET方法实例：

POST方法实例：

GET与POST的区别：
1、两者都包含请求行和请求头部，但GET没有请求实体，POST有。
2、GET多用于查询，请求参数放在URL中，不会对服务器内容造成影响，POST用来提交数据，会改变服务器内容。
3、GET提交的数据直接添加在URL后面，有长度限制，而POST将请求数据放在请求实体中，没有长度限制。

2.3、常用响应状态码

访问一个网页时，浏览器会向web服务器发出请求。此网页所在的服务器会返回一个包含HTTP状态码的信息头用以响应浏览器的请求。
状态码分类：

• 1XX - 信息型，服务器收到请求，接受的请求正在处理。
• 2XX - 成功型，请求成功收到，理解并处理。
• 3XX - 重定向，需要进行附加操作以完成请求。
• 4XX - 客户端错误，请求包含语法错误或服务器无法完成请求。
• 5XX - 服务器错误，服务器在处理请求的过程中发生了错误。

2XX——表明请求被正常处理了
1、200 OK：请求已正常处理。
2、204 No Content：请求处理成功，但没有任何资源可以返回给客户端，一般在只需要从客户端往服务器发送信息，而对客户端不需要发送新信息内容的情况下使用。
3、206 Partial Content：是对资源某一部分的请求，该状态码表示客户端进行了范围请求，而服务器成功执行了这部分的GET请求。响应报文中包含由Content-Range指定范围的实体内容。
3XX——表明浏览器需要执行某些特殊的处理以正确处理请求
4、301 Moved Permanently：“资源的URI已更新，你也更新下你的书签引用吧”。永久性重定向，请求的资源已经被分配了新的URI，以后应使用资源现在所指的URI。
5、302 Found：“资源的URI已临时定位到其他位置了，姑且算你已经知道了这个情况了”。临时性重定向。和301相似，但302代表的资源不是永久性移动，只是临时性质的。换句话说，已移动的资源对应的URI将来还有可能发生改变。
6、303 See Other：“资源的URI已更新，你是否能临时按新的URI访问”。该状态码表示由于请求对应的资源存在着另一个URL，应使用GET方法定向获取请求的资源。303状态码和302状态码有着相同的功能，但303状态码明确表示客户端应当采用GET方法获取资源，这点与302状态码有区别。
4XX——表明客户端是发生错误的原因所在
7、400 Bad Request：服务器端无法理解客户端发送的请求，请求报文中可能存在语法错误。
8、401 Unauthorized：该状态码表示发送的请求需要有通过HTTP认证（BASIC认证，DIGEST认证）的认证信息。
9、403 Forbidden：不允许访问那个资源。该状态码表明对请求资源的访问被服务器拒绝了。（权限，未授权IP等）
10、404 Not Found：服务器上没有请求的资源。路径错误等。
5XX——服务器本身发生错误
11、500 Internal Server Error：貌似内部资源出故障了。该状态码表明服务器端在执行请求时发生了错误。也有可能是web应用存在bug或某些临时故障。
12、503 Service Unavailable：抱歉，我现在正在忙着。该状态码表明服务器暂时处于超负载或正在停机维护，现在无法处理请求。

三、HTTPS协议详解

HTTPS 协议（HyperText Transfer Protocol over Secure Socket Layer）：一般理解为HTTP+SSL/TLS，通过 SSL证书来验证服务器的身份，并为浏览器和服务器之间的通信进行加密。

3.1、对称加密和非对称加密

明文： 明文指的是未被加密过的原始数据。
密文： 明文被某种加密算法加密之后，会变成密文，从而确保原始数据的安全。密文也可以被解密，得到原始的明文。
密钥： 密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的参数。密钥分为对称密钥与非对称密钥，分别应用在对称加密和非对称加密上。

对称加密： 对称加密又叫做私钥加密，即信息的发送方和接收方使用同一个密钥去加密和解密数据。对称加密的特点是算法公开、加密和解密速度快，适合于对大数据量进行加密，常见的对称加密算法有DES、3DES、TDEA、Blowfish、RC5和IDEA。
加密过程如下：明文 + 加密算法 + 私钥 => 密文
解密过程如下：密文 + 解密算法 + 私钥 => 明文

对称加密中用到的密钥叫做私钥，私钥表示个人私有的密钥，即该密钥不能被泄露。
其加密过程中的私钥与解密过程中用到的私钥是同一个密钥，这也是称加密之所以称之为“对称”的原因。由于对称加密的算法是公开的，所以一旦私钥被泄露，那么密文就很容易被破解，所以对称加密的缺点是密钥安全管理困难。

非对称加密： 非对称加密也叫做公钥加密。非对称加密与对称加密相比，其安全性更好。对称加密的通信双方使用相同的密钥，如果一方的密钥遭泄露，那么整个通信就会被破解。而非对称加密使用一对密钥，即公钥和私钥，且二者成对出现。私钥被自己保存，不能对外泄露。公钥指的是公共的密钥，任何人都可以获得该密钥。用公钥或私钥中的任何一个进行加密，用另一个进行解密。
被公钥加密过的密文只能被私钥解密，过程如下：
明文 + 加密算法 + 公钥 => 密文， 密文 + 解密算法 + 私钥 => 明文
被私钥加密过的密文只能被公钥解密，过程如下：
明文 + 加密算法 + 私钥 => 密文， 密文 + 解密算法 + 公钥 => 明文

由于加密和解密使用了两个不同的密钥，这就是非对称加密“非对称”的原因。
非对称加密的缺点是加密和解密花费时间长、速度慢，只适合对少量数据进行加密。
在非对称加密中使用的主要算法有：RSA、Elgamal、Rabin、D-H、ECC（椭圆曲线加密算法）等。

3.2、SSL协议的具体实现