网络基础小记

网络基础

http和https的区别

HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全。

一、HTTPS和HTTP的区别主要如下：

　　1、https协议需要到ca申请证书，一般免费证书较少，因而需要一定费用。
　　2、http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
　　3、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
　　4、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。
二、HTTPS的优点

　　尽管HTTPS并非绝对安全，掌握根证书的机构、掌握加密算法的组织同样可以进行中间人形式的攻击，但HTTPS仍是现行架构下最安全的解决方案，主要有以下几个好处：

　　（1）使用HTTPS协议可认证用户和服务器，确保数据发送到正确的客户机和服务器；
　　（2）HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全，可防止数据在传输过程中不被窃取、改变，确保数据的完整性。
　　（3）HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人攻击的成本。
　　（4）谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”。

三、HTTPS的缺点

　　虽然说HTTPS有很大的优势，但其相对来说，还是存在不足之处的：

　　（1）HTTPS协议握手阶段比较费时，会使页面的加载时间延长近50%，增加10%到20%的耗电；
　　（2）HTTPS连接缓存不如HTTP高效，会增加数据开销和功耗，甚至已有的安全措施也会因此而受到影响；
　　（3）SSL证书需要钱，功能越强大的证书费用越高，个人网站、小网站没有必要一般不会用。
　   （4）SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗。
　　（5）HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。

get请求和post请求的区别

get一般用来查询数据，post一般用来修改数据（其实不准确，他们俩个只是发送机制不一样）
get的请求参数再http协议头里，post的请求参数在请求包里面
get请求可传输的字节有限制（浏览器现在2083字节限制），post可传输的字节无限制（起限制的是服务器的处理程序的处理能力）
get的请求参数再链接上，没有post请求的数据安全

Token 和 Session 的区别

Session 是一种记录服务器和客户端会话状态的机制，使服务端有状态化，可以记录会话信息。而 Token 是令牌，访问资源接口（API）时所需要的资源凭证。Token 使服务端无状态化，不会存储会话信息。

Session 和 Token 并不矛盾，作为身份认证 Token 安全性比 Session 好，因为每一个请求都有签名还能防止监听以及重放攻击，而 Session 就必须依赖链路层来保障通讯安全了。如果你需要实现有状态的会话，仍然可以增加 Session 来在服务器端保存一些状态。

所谓 Session 认证只是简单的把 User 信息存储到 Session 里，因为 SessionID 的不可预测性，暂且认为是安全的。而 Token ，如果指的是 OAuth Token 或类似的机制的话，提供的是 认证 和 授权 ，认证是针对用户，授权是针对 App 。其目的是让某 App 有权利访问某用户的信息。这里的 Token 是唯一的。不可以转移到其它 App上，也不可以转到其它用户上。Session 只提供一种简单的认证，即只要有此 SessionID ，即认为有此 User 的全部权利。是需要严格保密的，这个数据应该只保存在站方，不应该共享给其它网站或者第三方 App。所以简单来说：如果你的用户数据可能需要和第三方共享，或者允许第三方调用 API 接口，用 Token 。如果永远只是自己的网站，自己的 App，用什么就无所谓了。

cookie和session的区别

请点击这里

cookie 无法跨域，跨域参考JWT

区别对比

(1)cookie数据存放在客户的浏览器上，session数据放在服务器上
(2)cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗,如果主要考虑到安全应当使用session
(3)session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能，如果主要考虑到减轻服务器性能方面，应当使用COOKIE
(4)单个cookie在客户端的限制是3K，就是说一个站点在客户端存放的COOKIE不能3K（要）。
(5)将登陆信息等重要信息存放为SESSION;其他信息如果需要保留，可以放在COOKIE中

————————————————

http加密、证书、签名都是什么

引用：https://www.jianshu.com/p/29e0ba31fb8d

首先在信息传递的过程中，我们要怎么保住数据的安全性，有三点

1. 数据的保密性
2. 数据的完整性
3. 身份验证

加密

数据的保密性靠加密，加密分为对称加密和非对称加密，一般是2种方法结合使用，客户端公钥对对称密钥加密，然后传输给服务端，服务端通过私钥解密获取对称密钥，然后传输数据

	对称加密与非对称加密
	对称加密比非对称快，对称加密常用的方式有DES、3DES、AES等
	非对称加密公钥和私钥，公钥公开，私钥自己拥有

签名

签名主要来保证数据的完整性，客户端请求的时候会使用三列算法MD5把传输数据hash一次获取hash值，即为摘要，然后通过服务端的公钥对摘要和原始信息进行加密，服务端接收到数据之后通过私钥解密获取摘要和请求原始信息，通过对原始信息进行hash，然后与摘要进行对比，如果与摘要一致，则说明信息是完整的

加密是为了防止信息被泄露，而签名是为了防止信息被篡改，一般公钥加密、私钥解密、私钥签名、公钥验签。
散列值是对明文哈希后的产物，而数字签名是对散列值进行加密后的产物。

数字证书

在传输的过程中，客户端要获取服务端的公钥，这个过程可能存在被劫持，这个时候就用到了数字证书。

数字证书是由权威的CA（Certificate Authority）机构给服务端进行颁发，CA机构通过服务端提供的相关信息生成证书，证书内容包含了持有人的相关信息，服务器的公钥，签署者签名信息（数字签名）等，最重要的是公钥在数字证书中。
一个证书中含有三个部分:“证书内容，散列算法，加密密文”，证书内容会被散列算法hash计算出hash值，然后使用CA机构提供的私钥进行RSA加密。

当客户端发起请求时，服务器将该数字证书发送给客户端，客户端通过CA机构提供的公钥对加密密文进行解密获得散列值（摘要），同时将证书内容使用相同的散列算法进行Hash得到另一个散列值，比对两个散列值，如果两者相等则说明证书没问题。

HTTPS

单向认证

1. 客户端向服务端发送SSL协议版本号、加密算法种类、随机数等信息;

2. 服务端给客户端返回SSL协议版本号、加密算法种类、随机数等信息，同时也返回服务器端的证书，即公钥证书;

3. 客户端使用服务端返回的信息验证服务器的合法性，包括：

   证书是否过期;
   发行服务器证书的CA是否可靠;(通过查询浏览器或本机内的CA证书)
   返回的公钥是否能正确解开返回证书中的数字签名;（通过使用本机或浏览器内置的CA公钥进行解密）
   服务器证书上的域名是否和服务器的实际域名相匹配;
   验证通过后，将继续进行通信，否则，终止通信;

4. 客户端向服务端发送自己所能支持的对称加密方案，供服务器端进行选择;

5. 服务器端在客户端提供的加密方案中选择加密程度最高的加密方式;

6. 服务器将选择好的加密方案通过明文方式返回给客户端;

7. 客户端接收到服务端返回的加密方式后，使用该加密方式生成产生随机码，用作通信过程中对称加密的密钥，使用服务端返回的公钥进行加密，将加密后的随机码发送至服务器;

8. 服务器收到客户端返回的加密信息后，使用自己的私钥进行解密，获取对称加密密钥;在接下来的会话中，服务器和客户端将会使用该密码进行对称加密，保证通信过程中信息的安全;

双向认证

1. 客户端向服务端发送SSL协议版本号、加密算法种类、随机数等信息;

2. 服务端给客户端返回SSL协议版本号、加密算法种类、随机数等信息，同时也返回服务器端的证书，即公钥证书;

3. 客户端使用服务端返回的信息验证服务器的合法性，包括：

   证书是否过期;
   发行服务器证书的CA是否可靠;(通过查询浏览器或本机内的CA证书)
   返回的公钥是否能正确解开返回证书中的数字签名;（通过使用本机或浏览器内置的CA公钥进行解密）
   服务器证书上的域名是否和服务器的实际域名相匹配;
   验证通过后，将继续进行通信，否则，终止通信;

4. 服务端要求客户端发送客户端的证书即客户端证书公钥，客户端会将自己的证书发送至服务端；

5. 验证客户端的证书，通过验证后，会获得客户端的公钥；

6. 客户端向服务端发送自己所能支持的对称加密方案，供服务器端进行选择

7. 服务器端在客户端提供的加密方案中选择加密程度最高的加密方式;

8. 将加密方案通过使用之前获取到的公钥进行加密，返回给客户端

9. 客户端收到服务端返回的加密方案密文后，使用自己的私钥进行解密，获取具体加密方式，而后，产生该加密方式的随机码，用作加密过程中的密钥，使用之前从服务端证书中获取到的公钥进行加密后，发送给服务端；

10. 服务端收到客户端发送的消息后，使用自己的私钥进行解密，获取对称加密的密钥，在接下来的会话中，服务器和客户端将会使用该密码进行对称加密，保证通信过程中信息的安全；