HTTP协议
概述
HTTP超文本传输协议规定了浏览器怎样向万维网服务器请求万维网文档, 以及服务器怎样把文档传送给浏览器。
HTTP通过同一资源定位符URL获得互联网上资源的位置和访问这些资源的方法。
URL, URN和URI
- URI (Uniform Resource Identifier) : 统一资源标识符
URI 是一种更高层次, 更抽象的概念, URN 和 URL 都是 URI 的子集 - URL(Uniform Resource Locator) : 统一资源定位器
URL是URI的一种, 不仅标识了Web 资源, 还指定了操作或者获取方式, 同时指出了主要访问机制和网络位置。 - URN( Uniform Resource Name) : 统一资源命名
URN是URI的一种,用特定命名空间的名字标识资源。
HTTP报文
HTTP报文是由多行数据构成的字符串文本
客户端发送的报文叫做请求报文,服务端回复的报文为响应报文。
报文结构
通用首部
首部字段名 | 说明 |
---|---|
Cache-Control | 控制缓存的行为 |
Connection | 控制不再转发给代理的首部字段、管理持久连接 |
Date | 创建报文的日期时间 |
Pragma | 报文指令 |
Trailer | 报文末端的首部一览 |
Transfer-Encoding | 指定报文主体的传输编码方式 |
Upgrade | 升级为其他协议 |
Via | 代理服务器的相关信息 |
Warning | 错误通知 |
请求首部
首部字段名 | 说明 |
---|---|
Accept | 用户代理可处理的媒体类型 |
Accept-Charset | 优先的字符集 |
Accept-Encoding | 优先的内容编码 |
Accept-Language | 优先的语言(自然语言) |
Authorization | Web 认证信息 |
Expect | 期待服务器的特定行为 |
From | 用户的电子邮箱地址 |
Host | 请求资源所在服务器 |
If-Match | 比较实体标记(ETag) |
If-Modified-Since | 比较资源的更新时间 |
If-None-Match | 比较实体标记(与 If-Match 相反) |
If-Range | 资源未更新时发送实体 Byte 的范围请求 |
If-Unmodified-Since | 比较资源的更新时间(与 If-Modified-Since 相反) |
Max-Forwards | 最大传输逐跳数 |
Proxy-Authorization | 代理服务器要求客户端的认证信息 |
Range | 实体的字节范围请求 |
Referer | 对请求中 URI 的原始获取方 |
TE | 传输编码的优先级 |
User-Agent | HTTP 客户端程序的信息 |
响应首部
首部字段名 | 说明 |
---|---|
Accept-Ranges | 是否接受字节范围请求 |
Age | 推算资源创建经过时间 |
ETag | 资源的匹配信息 |
Location | 令客户端重定向至指定 URI |
Proxy-Authenticate | 代理服务器对客户端的认证信息 |
Retry-After | 对再次发起请求的时机要求 |
Server | HTTP 服务器的安装信息 |
Vary | 代理服务器缓存的管理信息 |
WWW-Authenticate | 服务器对客户端的认证信息 |
实体首部
首部字段名 | 说明 |
---|---|
Accept-Ranges | 是否接受字节范围请求 |
Age | 推算资源创建经过时间 |
ETag | 资源的匹配信息 |
Location | 令客户端重定向至指定 URI |
Proxy-Authenticate | 代理服务器对客户端的认证信息 |
Retry-After | 对再次发起请求的时机要求 |
Server | HTTP 服务器的安装信息 |
Vary | 代理服务器缓存的管理信息 |
WWW-Authenticate | 服务器对客户端的认证信息 |
HTTP请求方法
- GET
请求获取资源 - POST
传输实体主体, 用来传输数据 - HEAD
获取报文首部,与GET类似 - PUT
上传文件,没有验证机制,不安全,一般不用 - PATCH
对资源进行部分修改 - DELETE
删除文件,与PUT功能相反 - OPTIONS
查询URL能支持的方法 - CONNECT
用于代理服务器
HTTP状态码
状态码 | 类别 | 含义 |
---|---|---|
1XX | Informational(信息性状态码) | 接收的请求正在处理 |
2XX | Success(成功状态码) | 请求正常处理完毕 |
3XX | Redirection(重定向状态码) | 需要进行附加操作以完成请求 |
4XX | Client Error(客户端错误状态码) | 服务器无法处理请求 |
5XX | Server Error(服务器错误状态码) | 服务器处理请求出错 |
1XX 信息
- 100 Continue : 表明到目前为止都很正常, 客户端可以继续发送请求或者忽略这个响应
2XX 成功
- 200 OK
- 204 No Content 请求成功处理, 返回的响应报文不包含实体的主体部分。 表示没有数据返回。
- 206 Partial Content 表示客户端进行了范围请求,相应报文包含指定范围的内容。
3XX 重定向
- 301 Moved Permanently 永久重定向
- 302 Found 临时重定向
- 304 Not Modified 没有满足请求报文包含的一些条件。
4XX客户端错误
- 400 Bad Requset 请求报文出现语法错误
- 401 Unauthorized 发送的请求需要有认证信息
- 403 Forbidden 请求被拒绝
- 404 Not Found 没有找到对应的网页信息
5XX服务器错误
- 500 Internal Server Error 服务器正在执行请求时发生错误
- 503 Service Unavailable 服务器处于超负荷或正停机维护
Cookie和Session
HTTP是无状态的, 因此想要实现连接会话的管理(登陆状态,信息记录等),就需要引入Cookie来保存状态信息。
Cookie是服务器发送到用户浏览器并保存在本地的一块小数据,它会在下次请求时被携带,用来维持会话。
创建过程
服务器发送响应报文时,在首部添加Set-Cookie字段
Set-Cookie: info=test
客户端收到该报文时,取出Cookie信息并且在下次发送请求报文时携带上。
Cookie:info=test
Set-Cookie字段可设置一些Cookie的属性
属性 | 说明 |
---|---|
NAME=VALUE | 给Cookie赋予名称和值(必选) |
expires=DATA | Cookie的有效期,默认到浏览器关闭 |
path=PATH | 到服务器上的目录为Cookie适用对象 |
domain=域名 | Cookie使用的域名 |
Secure | 仅在HTTPS下发送Cookie |
HttpOnly | 防止Cookie被JavaScript访问 |
长连接,短连接和流水线
当浏览器访问一个HTML页面是, 同时需要访问多个页面资源,还要请求图片等,如果使用端连接每次请求访问都建立一个TCP连接,那么会有多余的开销浪费,如图1。
HTTP/1.1 提出了长连接的方法,长连接如图2, 只用建立一次连接即可进行多次HTTP通信,只要任意一段没有明确提出断开连接,则保持TCP连接状态。
- HTTP/1.1默认长连接,设置通用首部Connection:close;即可断开连接
- HTTP/1.1之前默认是短链接,使用长连接需设置Connection:Keep-Alive
流水线指在一条长连接上不等待响应返回而是连续发出请求,减少网络传输的延迟开销。
HTTPS
加密
对称加密
加密和解密使用同一密钥
- 优点 : 加密和解密速度快, 适合大数据场景
- 缺点 : 一对多的通信中需要维护多组密钥, 且密钥传输时容易被窃取。
非对称加密
使用公钥和私钥一对密钥,使用其中一个加密则需要用另一个解密。
- 优点:加密和解密使用不同的密钥, 方便密钥的传输和分发。
- 缺点:加密和解密的速度较慢。
HTTPS采用的加密方式
HTTPS采用混合的加密方式
- 客户端向服务器发送请求, 获取服务端的证书(带有公钥)
- 客户端用公钥加密对称密钥, 再发送给服务器.
- 服务器收到了加密的密钥后, 用自己的私钥进行解密, 这样双方就安全地获得了对称密钥.
- 之后双方使用对称密钥加密进行通信。
数字签名
数字签名就是加了密的校验和
-
签名的作用: 数字签名对原文的保密性没有要求, 主要负责发送者身份的验证和发送内容完整的检验。
-
签名原理:对要发送的内容采用哈希算法生成一段摘要,根据摘要可以验证内容的完整性。 为了防止摘要被篡改伪造,发送者可以用自己的私钥对摘要进行加密,接受者将收到的内容生成的摘要和用公钥就解密后的摘要进行对比,即可防止伪造摘要,也可以确认发送者身份。
-
存在的问题: 公钥会被伪造
认证
为了解决公钥被伪造的问题, 引入了证书中心(CA机构), 为服务端的公钥做认证。
证书的获得:
- A找CA证书中心, 提供私钥,组织信息,个人信息等,申请认证
- 证书中心通过线上,线下等手段验证申请者的身份,向申请者发送数字证书。
- 数字证书的内容:A的公开密钥,A的名称,过期时间,证书发布者,来自证书发布者的数字签名
证书的验证:
- 客户端收到证书后会对签名的颁发机构进行检查,如果堆机构一无所知,浏览器会提示是否信任该证书颁发机构
- 如果该机构是可信任的,客户端会用签名颁发机构的公钥密钥解密证书附带的数字签名,验证证书的完整性和发送方的可靠性。
GET和POST比较
GET | POST | |
---|---|---|
用途 | 从服务器上获取数据 | 向服务器上传数据 |
请求行 | GET /url HTTP/1.1 | POST /url HTTP/1.1 |
请求体 | 没有请求体 | 在首部后 以空行分割 |
参数 | 参数拼接在URL里, 安全性较低,参数只能是ASCII,长度最大2048 | 参数放在请求体里, 安全性较高,参数类型和长度均无限制 |
幂等性 | 浏览器退回和刷新无害 | 退回和刷新会重复提交 |
HTTP1.0 HTTP1.1 和 HTTP2.0的区别
HTTP1.0 | HTTP1.1 | |
---|---|---|
连接 | 默认使用短连接 | 默认长连接, 支持流水线 |
缓存 | 主要以header里的If-Modified-Since,Expires为判断 | 增加了Entity tag, If-Unmodified-Since, If-Match等更多的缓存控制策略 |
带宽优化 | header和body一起发送 | 支持只发送header信息, 如果服务器认为客户端有权限则返回100, 客户端可继续发送body, 无权限返回401, 则不需发送body, 节约带宽。支持range范围请求。 |
Host请求首部 | 无法访问同一个服务器IP地址上的不同主机 | 支持Host头域,可以访问同一服务器的不同主机。 |
HTTP1.1 | HTTP2.0 | |
---|---|---|
多路复用 | 客户端在同一时间对同一域名的请求有一定数目限制 | 采用多路复用技术,给request加上id区分,一个连接可以并发处理多个request |
首部压缩 | 不支持header数据压缩 | 支持header数据压缩,且双方同时维护更新一个首部字段表,从而避免首部重复传输 |
服务器推送 | 不支持 | 在客户端请求数据时,服务器会把相关的数据一同发送。比如请求一个page.html页面时,服务器会将script.js和style.css等一起发送。 |