HTTP协议简介
HTTP，超文本传输协议（HyperText Transfer Protocol)是互联网上应用最为广泛的 一种网络协议。所有的WWW文件都必须遵守这个标准。设计HTTP最初的目的是为了提供一种发布和接收HTML页面的方法，HTTP是万维网的数据通信的基础。
HTTP工作流程
HTTP是一个客户端终端（用户）和服务器端（网站）请求和应答的标准（TCP）。通过使用网页浏览器、网络爬虫或者其它的工具，客户端发起一个HTTP请求到服务器上指定端口（默认端口为80）。我们称这个客户端为用户代理程序（user agent）。应答的服务器上存储着一些资源，比如HTML文件和图像。我们称这个应答服务器为源服务器（origin server）。在用户代理和源服务器中间可能存在多个“中间层”，比如代理服务器、网关或者隧道（tunnel）。
注意：
-
这个协议在TCP/IP协议栈的应用层，因此我们无需操心HTTP是如何传输的，只需要关心我们传输的内容是否正确的被接收端识别。
-
HTTP是基于TCP实现的，简单的说就是TCP协议负责可靠的内容传输，HTTP协议负责识别内容，两者不在一个层面上。
-
HTTP无状态的含义是每一次的内容解析是没有关联的。TCP有状态连接是指两端在连接过程的。
-
HTTP包含两种报文信息：请求报文和响应报文。
HTTP的工作原理
HTTP协议定义Web客户端如何从Web服务器请求Web页面，以及服务器如何把Web页面传送给客户端。HTTP协议采用了请求/响应模型。客户端向服务器发送一个请求报文，请求报文包含请求的方法、URL、协议版本、请求头部和请求数据。服务器以一个状态行作为响应，响应的内容包括协议的版本、成功或者错误代码、服务器信息、响应头部和响应数据。
以下是 HTTP 请求/响应的步骤：
- 客户端连接到Web服务器
一个HTTP客户端，通常是浏览器，与Web服务器的HTTP端口（默认为80）建立一个TCP套接字连接。例如，http://www.luffycity.com。 - 发送HTTP请求
通过TCP套接字，客户端向Web服务器发送一个文本的请求报文，一个请求报文由请求行、请求头部、空行和请求数据4部分组成。 - 服务器接受请求并返回HTTP响应
Web服务器解析请求，定位请求资源。服务器将资源复本写到TCP套接字，由客户端读取。一个响应由状态行、响应头部、空行和响应数据4部分组成。 - 释放连接TCP连接
若connection 模式为close，则服务器主动关闭TCP连接，客户端被动关闭连接，释放TCP连接;若connection 模式为keepalive，则该连接会保持一段时间，在该时间内可以继续接收请求; - 客户端浏览器解析HTML内容
客户端浏览器首先解析状态行，查看表明请求是否成功的状态代码。然后解析每一个响应头，响应头告知以下为若干字节的HTML文档和文档的字符集。客户端浏览器读取响应数据HTML，根据HTML的语法对其进行格式化，并在浏览器窗口中显示。
例如：在浏览器地址栏键入URL，按下回车之后会经历以下流程：
-
- 浏览器向 DNS 服务器请求解析该 URL 中的域名所对应的 IP 地址;
- 解析出 IP 地址后，根据该 IP 地址和默认端口 80，和服务器建立TCP连接;
- 浏览器发出读取文件(URL 中域名后面部分对应的文件)的HTTP 请求，该请求报文作为 TCP 三次握手的第三个报文的数据发送给服务器;
- 服务器对浏览器请求作出响应，并把对应的 html 文本发送给浏览器;
- 释放 TCP连接;
- 浏览器将该 html 文本并显示内容;
HTTP请求方法
根据HTTP标准，HTTP请求可以使用多种请求方法。
HTTP1.0定义了三种请求方法： GET, POST 和 HEAD方法。
注： 有请求体(请求体有数据)肯定是post提交(表单method是post)
HTTP1.1新增了五种请求方法：OPTIONS, PUT, DELETE, TRACE 和 CONNECT 方法。
| 序号 | 方法 | 描述 |
|---|---|---|
| 1 | GET | 请求指定的页面信息，并返回实体主体。 |
| 2 | HEAD | 类似于get请求，只不过返回的响应中没有具体的内容，用于获取报头 |
| 3 | POST | 向指定资源提交数据进行处理请求（例如提交表单或者上传文件）。数据被包含在请求体中。POST请求可能会导致新的资源的建立和/或已有资源的修改。 |
| 4 | PUT | 从客户端向服务器传送的数据取代指定的文档的内容。 |
| 5 | DELETE | 请求服务器删除指定的页面。 |
| 6 | CONNECT | HTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器。 |
| 7 | OPTIONS | 允许客户端查看服务器的性能。 |
| 8 | TRACE | 回显服务器收到的请求，主要用于测试或诊断。 |
HTTP状态码
当浏览者访问一个网页时，浏览者的浏览器会向网页所在服务器发出请求。当浏览器接收并显示网页前，此网页所在的服务器会返回一个包含HTTP状态码的信息头（server header）用以响应浏览器的请求。
HTTP状态码的英文为HTTP Status Code。
下面是常见的HTTP状态码：
- 200 - 请求成功
- 301 - 资源（网页等）被永久转移到其它URL
- 404 - 请求的资源（网页等）不存在
- 500 - 内部服务器错误
HTTP状态码分类
HTTP状态码由三个十进制数字组成，第一个十进制数字定义了状态码的类型，后两个数字没有分类的作用。HTTP状态码共分为5种类型：
| 分类 | 分类描述 |
|---|---|
| 1** | 信息，服务器收到请求，需要请求者继续执行操作 |
| 2** | 成功，操作被成功接收并处理 |
| 3** | 重定向，需要进一步的操作以完成请求 |
| 4** | 客户端错误，请求包含语法错误或无法完成请求 |
| 5** | 服务器错误，服务器在处理请求的过程中发生了错误 |
HTTP状态码列表:
| 状态码 | 状态码英文名称 | 中文描述 |
|---|---|---|
| 100 | Continue | 继续。客户端应继续其请求 |
| 101 | Switching Protocols | 切换协议。服务器根据客户端的请求切换协议。只能切换到更高级的协议，例如，切换到HTTP的新版本协议 |
| 200 | OK | 请求成功。一般用于GET与POST请求 |
| 201 | Created | 已创建。成功请求并创建了新的资源 |
| 202 | Accepted | 已接受。已经接受请求，但未处理完成 |
| 203 | Non-Authoritative Information | 非授权信息。请求成功。但返回的meta信息不在原始的服务器，而是一个副本 |
| 204 | No Content | 无内容。服务器成功处理，但未返回内容。在未更新网页的情况下，可确保浏览器继续显示当前文档 |
| 205 | Reset Content | 重置内容。服务器处理成功，用户终端（例如：浏览器）应重置文档视图。可通过此返回码清除浏览器的表单域 |
| 206 | Partial Content | 部分内容。服务器成功处理了部分GET请求 |
| 300 | Multiple Choices | 多种选择。请求的资源可包括多个位置，相应可返回一个资源特征与地址的列表用于用户终端（例如：浏览器）选择 |
| 301 | Moved Permanently | 永久移动。请求的资源已被永久的移动到新URI，返回信息会包括新的URI，浏览器会自动定向到新URI。今后任何新的请求都应使用新的URI代替 |
| 302 | Found | 临时移动。与301类似。但资源只是临时被移动。客户端应继续使用原有URI |
| 303 | See Other | 查看其它地址。与301类似。使用GET和POST请求查看 |
| 304 | Not Modified | 未修改。所请求的资源未修改，服务器返回此状态码时，不会返回任何资源。客户端通常会缓存访问过的资源，通过提供一个头信息指出客户端希望只返回在指定日期之后修改的资源 |
| 305 | Use Proxy | 使用代理。所请求的资源必须通过代理访问 |
| 306 | Unused | 已经被废弃的HTTP状态码 |
| 307 | Temporary Redirect | 临时重定向。与302类似。使用GET请求重定向 |
| 400 | Bad Request | 客户端请求的语法错误，服务器无法理解 |
| 401 | Unauthorized | 请求要求用户的身份认证 |
| 402 | Payment Required | 保留，将来使用 |
| 403 | Forbidden | 服务器理解请求客户端的请求，但是拒绝执行此请求 |
| 404 | Not Found | 服务器无法根据客户端的请求找到资源（网页）。通过此代码，网站设计人员可设置"您所请求的资源无法找到"的个性页面 |
| 405 | Method Not Allowed | 客户端请求中的方法被禁止 |
| 406 | Not Acceptable | 服务器无法根据客户端请求的内容特性完成请求 |
| 407 | Proxy Authentication Required | 请求要求代理的身份认证，与401类似，但请求者应当使用代理进行授权 |
| 408 | Request Time-out | 服务器等待客户端发送的请求时间过长，超时 |
| 409 | Conflict | 服务器完成客户端的PUT请求是可能返回此代码，服务器处理请求时发生了冲突 |
| 410 | Gone | 客户端请求的资源已经不存在。410不同于404，如果资源以前有现在被永久删除了可使用410代码，网站设计人员可通过301代码指定资源的新位置 |
| 411 | Length Required | 服务器无法处理客户端发送的不带Content-Length的请求信息 |
| 412 | Precondition Failed | 客户端请求信息的先决条件错误 |
| 413 | Request Entity Too Large | 由于请求的实体过大，服务器无法处理，因此拒绝请求。为防止客户端的连续请求，服务器可能会关闭连接。如果只是服务器暂时无法处理，则会包含一个Retry-After的响应信息 |
| 414 | Request-URI Too Large | 请求的URI过长（URI通常为网址），服务器无法处理 |
| 415 | Unsupported Media Type | 服务器无法处理请求附带的媒体格式 |
| 416 | Requested range not satisfiable | 客户端请求的范围无效 |
| 417 | Expectation Failed | 服务器无法满足Expect的请求头信息 |
| 500 | Internal Server Error | 服务器内部错误，无法完成请求 |
| 501 | Not Implemented | 服务器不支持请求的功能，无法完成请求 |
| 502 | Bad Gateway | 充当网关或代理的服务器，从远端服务器接收到了一个无效的请求 |
| 503 | Service Unavailable | 由于超载或系统维护，服务器暂时的无法处理客户端的请求。延时的长度可包含在服务器的Retry-After头信息中 |
| 504 | Gateway Time-out | 充当网关或代理的服务器，未及时从远端服务器获取请求 |
| 505 | HTTP Version not supported | 服务器不支持请求的HTTP协议的版本，无法完成处理 |
HTTP请求格式
客户端发送一个HTTP请求到服务器的请求消息包括以下格式：请求行（request line）、请求头部（header）、空行和请求数据四个部分组成，下图给出了请求报文的一般格式。
| 常见请求头 | 描述 （红色掌握，其他了解） |
|---|---|
| Referer | 浏览器通知服务器，当前请求来自何处。如果是直接访问，则不会有这个头。常用于：防盗链 |
| If-Modified-Since | 浏览器通知服务器，本地缓存的最后变更时间。与另一个响应头组合控制浏览器页面的缓存。 |
| Cookie | 与会话有关技术，用于存放浏览器缓存的cookie信息。 |
| User-Agent | 浏览器通知服务器，客户端浏览器与操作系统相关信息 |
| Connection | 保持连接状态。Keep-Alive 连接中，close 已关闭 |
| Host | 请求的服务器主机名 |
| Content-Length | 请求体的长度 |
| Content-Type | 如果是POST请求，会有这个头，默认值为application/x-www-form-urlencoded，表示请求体内容使用url编码 |
| Accept： | 浏览器可支持的MIME类型。文件类型的一种描述方式。MIME格式：大类型/小类型[;参数]例如： text/html ，html文件 text/css，css文件 text/javascript，js文件 image/*，所有图片文件 |
| Accept-Encoding | 浏览器通知服务器，浏览器支持的数据压缩格式。如：GZIP压缩 |
| Accept-Language | 浏览器通知服务器，浏览器支持的语言。各国语言（国际化i18n） |
HTTP请求头
请求头中主要包含本次请求的附加消息，其中长用的字段有：
Accept：指定客户端能够接收的内容类型
Accept-Encoding:指定浏览器可以支持的web服务器返回内容压缩编码类型
Accept-Language:浏览器可接受的语言
Content-Length:请求的内容长度
Content-Type:请求的与实体对应的MIME信息
常用的类型举例：
![[外链图片转存失败(img-jC0envtf-1567220904477)(file:///C:\Users\pl\AppData\Local\Temp\ksohtml15356\wps1.jpg)]](https://i-blog.csdnimg.cn/blog_migrate/d1797f064c32029463754fb7358a5150.jpeg)
Date：请求发送的日期和时间
详细的请求头的所有完整内容请浏览：
http://tools.jb51.net/table/http_header
响应报文
[外链图片转存失败(img-PJvYzUTd-1567220904477)(file:///C:\Users\pl\AppData\Local\Temp\ksohtml15356\wps2.jpg)]
- 响应行：包涵HTTP的版本和本次请求的状态，就是响应码。
- 响应头：用于描述服务器的基本信息和数据。
- Allow 服务器支持哪些请求方法（如GET、POST等）
- Content-Encoding 文档的编码（Encode）方法。
- Content-Length 表示内容长度。
- Content-Type 表示后面的文档属于什么MIME类型。
- 响应实体：包涵的就是客户端从服务器中获取的数据了，数据的格式和长度都会在响应体头中描述。
详细的请求头的所有完整内容请浏览：http://tools.jb51.net/table/http_header
HTTPS协议
HTTP传输协议的缺点
我们知道，HTTP协议基于TCP进行传输的，其中传输的内容全都裸露在报文中，如果我们获取了一个HTTP消息体，那我们可以知道消息体中所有的内容。这其实存在很大的风险，如果HTTP消息体被劫持，那么整个传输过程将面临：
- （1） 窃听风险（eavesdropping）：第三方可以获知通信内容。
- （2） 篡改风险（tampering）：第三方可以修改通信内容。
- （3） 冒充风险（pretending）：第三方可以冒充他人身份参与通信。
正因为HTTP协议的这个缺点, HTTP变成了一种不安全的协议。
更加安全的HTTPS
加密算法
对称加密
有流式、分组两种，加密和解密都是使用的同一个密钥。
例如：DES、AES-GCM、ChaCha20-Poly1305等
非对称加密
加密使用的密钥和解密使用的密钥是不相同的，分别称为：公钥、私钥，公钥和算法都是公开的，私钥是保密的。非对称加密算法性能较低，但是安全性超强，由于其加密特性，非对称加密算法能加密的数据长度也是有限的。
例如：RSA、DSA、ECDSA、 DH、ECDHE
哈希算法
将任意长度的信息转换为较短的固定长度的值，通常其长度要比信息小得多，且算法不可逆。
例如：MD5、SHA-1、SHA-2、SHA-256 等
数字签名
签名就是在信息的后面再加上一段内容（信息经过hash后的值），可以证明信息没有被修改过。hash值一般都会加密后（也就是签名）再和信息一起发送，以保证这个hash值不被修改。
对HTTP消息体对称加密
对称加密
在经过TCP的三次握手之后，客户端和服务器开启了连接，如果对后续双方传输的内容进行对称加密，那么理论上我们在本次传输中防止了内容裸露。但是由于对称加密使用秘钥在两端是一样的，要维持每个客户端的秘钥不一致整套加密才有意义，这样将会产生海量的秘钥，维护困难。另外，因为对称加密需要双方协商一致，一般可用提前约定，或者使用前传输秘钥，不管是哪种方式，都很容易导致秘钥泄漏。只要黑客获取到秘钥，那么所谓的加密传输就如同虚设了。
对HTTP消息体进行非对称加密
我们使用非对称加密试试。
非对称加密
用户使用公钥进行加密之后，消息体能够安全的抵达服务器，但是在服务器返回数据的时候，黑客截取到信息之后,能够通过公钥对响应的内容进行解密，最后进行篡改，导致这个加密方案失败。另外，非对称加密不适用与数量太大的报文，大数量的报文导致加密效率降低。
对称加密和非对称加密结合使用
- 对称加密的方式，如果能够保证秘钥不被黑客获取，那么它其实是很安全的，并且，对称加密的在速度具有很大的优势。
- 非对称加密在请求发起方时，尽管使用的是公钥加密，但是因为必须使用私钥解密的特点，因此能够保证消息体在向服务器发送的过程中是安全的。缺点在于服务器返回的使用私钥加密的内容会被公钥解开。
结合两者的优缺点的做法：
- 使用对称加密对消息体进行加密。
- 对称加密的算法和对称秘钥使用公钥加密之后，在 ClientHello 时发送给服务器。
- 后续双方的内容进行对称加密。
具体的做法如下图：
对称加密和非对称加密相结合使用
那么使用这种方式时，有两个问题。
- 如何将公钥给到客户端？
- 客户端在获取一个公钥之后，如何确定这个公钥是正确的服务端发出的？
直接下载公钥不可靠的，因为黑客可能在下载公钥的时候劫持了请求，并伪造一个公钥返回给客户端。后续的请求都将会被黑客欺骗。
那应该怎么做呢？
答案是：使用证书！
数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。数字证书还有一个重要的特征就是只在特定的时间段内有效。
数字证书是一种权威性的电子文档，可以由权威公正的第三方机构，即CA（例如中国各地方的CA公司）中心签发的证书，也可以由企业级CA系统进行签发。
简单来说，证书可以携带公钥，如果我们将证书给客户端下载，那就解决了客户端获取公钥的问题。 同时由于受第三方权威机构的认证，下载后对证书进行验证，如果证书可信（并非个人签名），并且是我们指定的服务器上的证书，那么说明证书是真是有效的，这就解决了公钥可能是伪造的问题。
SSL证书+非对称加密+对称加密
最后附一张详细的HTTPS请求过程图示：
参考：
https://www.jianshu.com/p/b1538c758c4a
https://www.cnblogs.com/wlx97e6/p/9550171.html
2303
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
