技术科普之HTTP和HTTPS协议解析（转载）

一、引言

HTTP（超文本传输协议）和HTTPS（超文本传输安全协议）是两种至关重要的协议，它们负责着网页内容的请求与传输。然而，尽管它们的功能相似，但在安全性方面却有着天壤之别。今天，我们就来了解下这两种协议的工作原理、核心特点，应用场景以及它们之间的主要区别。

二、HTTP（超文本传输协议）

1、概念

超文本传输协议（HTTP，HyperText Transfer Protocol）是互联网上应用最为广泛的应用层协议之一。设计 HTTP 最初的目的是为了提供一种发布和接收HTML页面的方法，从而使用户可以访问互联网上的各种资源，如网页、图片、音频、视频等。HTTP协议工作于客户端-服务端架构上，基于TCP/IP协议以明文方式传输数据，默认情况下在端口80上运行。

2、特点

无状态性：每次请求都是独立的，服务器不会记住之前的请求或用户信息。

明文传输：数据以明文形式传输，不加密，容易被截获和窃听。

简单快速：由于没有加密过程，HTTP通常比HTTPS更快。

3、应用场景

HTTP协议主要用于在Web浏览器和Web服务器之间传输数据，广泛应用于各种不需要加密传输数据的场景，例如：

Web浏览器访问Web服务器：当用户在Web浏览器中输入URL地址时，浏览器会向Web服务器发送HTTP请求，请求服务器返回相应的Web页面。

Web API调用：许多Web应用程序提供API接口，允许其他应用程序通过HTTP协议调用API接口获取数据或执行操作。

文件传输：HTTP协议可以用于文件传输，例如通过HTTP协议下载文件或上传文件。

4、工作原理

HTTP，即超文本传输协议，是互联网上的“快递员”。当你在浏览器中输入一个网址并按下回车键时，HTTP就开始工作了：

1.发起请求：浏览器会根据你的请求，生成一个HTTP请求。这个请求就像一个包裹，里面包含了你想获取的内容的信息，比如你想访问的网页地址、请求的方法（GET或POST等）等。

2.建立连接：浏览器会与服务器建立连接。这个连接就像是一条路，让HTTP请求能够顺利地从浏览器发送到服务器。

3.发送请求：一旦连接建立，浏览器就会将HTTP请求发送给服务器。这就像是快递员将包裹送到目的地。

4.服务器处理：服务器接收到请求后，会查找相应的内容。如果请求的是一个网页，服务器就会找到这个网页的文件；如果请求的是一个图片或视频，服务器就会找到对应的媒体文件。

5.返回响应：服务器找到内容后，会生成一个HTTP响应。这个响应就像一个回信包裹，里面包含了请求的内容。然后，服务器会将这个响应发送回浏览器。

6.断开连接：内容传输完成后，浏览器与服务器之间的连接就会断开。这就像是快递员完成任务后，将路清理干净，等待下一次的配送。

需要注意的是，HTTP协议在传输数据时是明文的，就像你在路上大声说话，别人都能听到一样。因此，HTTP并不适合传输敏感信息，比如密码或银行卡号等。

三、HTTPS（安全超文本传输协议）

1、概念

HTTPS（Hypertext Transfer Protocol Secure）,它在HTTP的基础上增加了SSL（安全套接层）或TLS（传输层安全）协议，为数据传输提供加密、数据完整性和身份验证保护。这样，即使数据在传输过程中被截获，也无法被轻易解读。HTTPS默认在端口443上运行。

2、特点

加密通信：HTTPS通过SSL/TLS证书实现对数据流的加密处理，只有拥有正确解密密钥的接收方才能解读数据内容，有效防止数据在传输过程中被截获和滥用。

身份认证：服务器向客户端出示由权威机构颁发的SSL/TLS证书，客户端验证该证书的有效性和服务器的身份，确保连接到的是正确的服务提供者，而非冒充者。

数据完整性：除了加密外，HTTPS还利用消息认证码（MAC）来保护数据完整性，防止数据在传输过程中遭到未经授权的修改。

3、应用场景

HTTPS协议，作为HTTP协议的安全版本，通过在HTTP协议的基础上增加SSL/TLS加密层来实现数据的加密传输。它的应用场景主要集中在需要保护用户敏感信息的场景，例如：

在线购物：用户在网上购物时，需要输入银行卡号、密码等敏感信息。HTTPS协议能确保这些数据在传输过程中被加密，防止黑客窃取。

网上银行：在进行网上银行业务时，同样需要提供敏感信息。只有使用HTTPS协议，才能确保银行账户信息得到保护。

登录和注册页面：对于任何需要用户登录的网站，都需要通过HTTPS来保护用户输入的用户名和密码等敏感信息。

邮件系统：电子邮件可以包含私人和机密信息，使用HTTPS可以确保邮件得到加密，并且只能被预定的收件人读取。

4、工作原理

HTTPS，即安全超文本传输协议，是HTTP的升级版。HTTPS的整体过程分为证书验证和数据传输阶段，具体的交互过程如下：

1.客户端发送HTTPS请求到服务器。

2.服务器返回数字证书（包括公钥）给客户端。

3.客户端验证证书是否合法，如果合法，则生成一个随机的对称加密密钥。

4.客户端使用服务器的公钥将该密钥加密，然后发送给服务器。

5.服务器使用自己的私钥将密钥解密。

6.服务器和客户端使用该对称密钥进行加密和解密，完成后续的数据传输。

这个过程中，数字证书的作用是验证服务器的身份，确保客户端与服务器之间的通信安全。同时，对称加密的使用可以提高传输数据的安全性，防止敏感内容被截获和篡改。

四、HTTPS与HTTP的区别

HTTPS（Hypertext Transfer Protocol Secure）和HTTP（Hypertext Transfer Protocol）都是用于在互联网上传输数据的协议，但它们在安全性、加密方式以及证书要求等方面存在显著的差异。以下是HTTPS与HTTP之间的主要区别：

安全性：HTTP是明文传输协议，而HTTPS是加密传输协议。HTTPS通过TLS/SSL协议对数据进行加密，确保数据的机密性和完整性。

端口号：HTTP通常使用80端口，而HTTPS使用443端口。

证书：HTTPS需要申请和配置SSL证书，实现数据加密和身份验证。而HTTP不需要申请和配置SSL证书。

资源消耗：HTTPS协议需要到CA申请证书，一般免费证书较少，因而需要一定费用。HTTP是超文本传输协议，信息是明文传输，HTTPS则是具有安全性的ssl加密传输协议，需要消耗更多的CPU和内存资源。

连接建立时间：HTTPS连接建立的时间较长，因为需要进行SSL握手，验证证书等操作。HTTP连接建立的时间相对较短。

适用场景：HTTP适用于对安全性要求不高的场景，如普通网页浏览、下载等。HTTPS适用于对安全性要求较高的场景，如在线支付、电子银行、证券交易等。

五、结论

总结起来，HTTP适合于非敏感信息的传输，而HTTPS则是在要求安全性、隐私保护及信任机制的现代互联网环境中不可或缺的标准配置。随着网络安全意识的提高和技术的发展，越来越多的网站和服务都转向使用HTTPS，力求在提供便捷服务的同时保障用户数据的安全。HTTPS将成为未来的基本选择。