Http与Https相关概念

298 views

Http基础

一、HTTP基本概念

1.定义：

  • HTTP（超文本传输协议，HyperText Transfer Protocol）是用于在客户端和服务器之间传输超文本数据的协议。（如HTML、图像、视频等）。

2.特点：

  • 无状态：每个请求都是独立的，服务器不保留之前的请求状态。
  • 灵活性：可以通过不同的请求方法（如GET、POST、PUT、DELETE等）进行数据传输。
  • 文本协议：请求和响应以文本格式书写，易于调试。

3.请求方法：

  • GET：请求指定的资源，数据通过URL传递，通常用于获取数据。
  • POST：向指定资源提交数据，最常用的表单提交方法。
  • PUT：更新指定资源，通常加在已有资源的路径中。
  • DELETE：请求删除指定资源。
  • HEAD：与GET类似，但只返回响应头，不返回响应体。
  • OPTIONS：查询服务器支持的HTTP方法。

4.请求结构：

  • 请求行：包括请求方法、URI和HTTP版本。
  • 请求头：包含额外的属性，如 Content-Type, User-Agent。
  • 请求体：用于提交数据（通常在POST或PUT请求中）。

5.协议版本：

  • HTTP/1.0：最初版本，1996年发布。
  • HTTP/1.1：1999年发布，支持持久连接、更好的缓存控制等。
  • HTTP/2：2015年发布，采用二进制分帧，支持多路复用，改善性能。
  • HTTP/3：基于QUIC协议，增强性能和安全性，2020年推出。

二、HTTP请求和响应结构

1. HTTP请求结构：

  • 请求行：包括请求方法（GET、POST等）、请求URI和HTTP版本。
GET /index.html HTTP/1.1
  • 请求头：包含一些附加信息（如用户代理、内容类型、接受的编码等）。
User-Agent: Mozilla/5.0
Accept: text/html
  • 请求体：通常在POST请求中包含，携带需要提交的数据。

2. HTTP响应结构：

  • 状态行：包含HTTP版本、状态码和状态描述。
HTTP/1.1 200 OK
  • 响应头：包含服务器信息、内容类型、内容长度等。
Content-Type: text/html
Content-Length: 1234
  • 响应体：包含实际返回给客户端的数据（如HTML内容）。

三、HTTP的工作原理

  1. 客户端发送请求：

    • 用户在浏览器中输入URL后，浏览器解析该URL，确定目标服务器和资源地址。

  2. 建立TCP连接：

    • 浏览器通过DNS解析域名获取服务器IP地址，建立TCP连接（通常使用3次握手）。

  3. 发送HTTP请求：

    • 一旦连接建立，浏览器发送HTTP请求到服务器。

  4. 服务器处理请求：

    • 服务器接收请求，处理相应逻辑，访问数据库或其他资源。

  5. 发送HTTP响应：

    • 服务器将处理结果（状态码、响应头、响应体）通过TCP连接返回给客户端。

  6. 浏览器渲染页面：

    • 浏览器接收响应数据，解析HTML、CSS和JavaScript，渲染出用户看到的网页。

四、常用状态码及其含义

  • 1xx（信息性状态码）：

    • 100：继续（Continue）
    • 101：切换协议（Switching Protocols）

  • 2xx（成功状态码）：

    • 200：成功（OK）
    • 201：已创建（Created）
    • 204：无内容（No Content）

  • 3xx（重定向状态码）：

    • 301：永久重定向（Moved Permanently）
    • 302：临时重定向（Found）
    • 304：未修改（Not Modified）

  • 4xx（客户端错误状态码）：

    • 400：错误请求（Bad Request）
    • 401：未授权（Unauthorized）
    • 403：禁止访问（Forbidden）
    • 404：未找到（Not Found）

  • 5xx（服务器错误状态码）：

    • 500：内部服务器错误（Internal Server Error）
    • 502：错误网关（Bad Gateway）
    • 503：服务不可用（Service Unavailable）

五、常见HTTP问题

- **延迟及性能问题**：
    - 解决办法包括使用CDN、使用HTTP/2改进性能、资源压缩与合并。

- **安全隐患**：
    - 使用HTTPS保护用户数据、实施CORS（跨域资源共享）策略、利用HSTS避免SSL剥离攻击。

六、最常用的HTTP工具

  • Postman：用于API测试，方便发送各种HTTP请求，查看响应。
  • curl：命令行工具，用于与服务器进行数据交互。
  • Wireshark：网络分析工具，用于捕获和分析HTTP流量。

Https基础

一、HTTPS基本概念

  1. 定义：

    • HTTPS（安全超文本传输协议）是在HTTP协议的基础上加入SSL/TLS加密协议，保障数据传输安全。

  2. 特点：

    • 加密：使用加密算法确保数据在传输中不被窃听。
    • 数据完整性：通过消息摘要防止数据在传输过程中的篡改。
    • 身份验证：通过数字证书验证服务器的真实性。

  3. 端口号：

    • HTTP默认使用80端口，HTTPS默认使用443端口。

二、HTTP与HTTPS的区别

特性 HTTP HTTPS
安全性 明文传输，安全性差 加密传输，安全性高
性能 性能较高 性能略低，由于加密和解密的处理
数据完整性 数据易被篡改 数据完整性得到保障
身份认证 无身份认证 有数字证书进行身份验证
适用场景 适合传输公开数据 适合传输敏感数据，如交易信息等

三、HTTPS的工作原理

  1. 客户端请求：

    • 客户端发起HTTPS请求，请求建立加密通道。

  2. 服务器响应：

    • 服务器返回数字证书，包含公钥和服务器身份信息。

  3. 验证证书：

    • 客户端验证数字证书的有效性，确保证书是由受信任的证书颁发机构（CA）颁发的。

  4. 密钥交换：

    • 验证无误后，客户端生成一个对称密钥并用服务器的公钥加密发送给服务器。

  5. 加密通信：

    • 服务器使用私钥解密密钥，并与客户端通过该对称密钥进行加密通信。

四、SSL/TLS概念

  1. SSL/TLS：

    • SSL（安全套接字层）是用于建立安全连接的协议，现已被其后续版本TLS（传输层安全性）取代。

  2. 密钥管理：

    • 公钥和私钥、对称密钥的结合使用，确保数据传输的加密和安全。

  3. 数字证书：

    • 用于确认主机的身份，是由证书颁发机构（CA）签发的。

三、HTTP/2 和 HTTP/3 特性

1. HTTP/2

HTTP/2 是 HTTP 协议的第二个主要版本，专注于提高性能和效率。以下是其主要特性：

  • 二进制分帧：

    • HTTP/2 采用二进制格式传输数据（而非文本格式），这使得解析更加高效，并减少了传输的复杂性。

  • 多路复用：

    • HTTP/2 允许在单个TCP连接上同时传输多个请求和响应，解决了HTTP/1.x中的"队头阻塞"问题。

  • 头部压缩：

    • 使用 HPACK 算法压缩请求和响应头，减少了传输数据的大小，提高了传输效率。

  • 服务器推送：

    • 服务器可以在客户端请求之前主动推送资源，减少请求延迟。比如，当客户端请求一个HTML页面时，服务器可以主动推送相关的CSS、JS文件。

  • 请求优先级：

    • 客户端可以为每个请求设置优先级，服务器可以根据优先级决定资源的传输顺序。

2. HTTP/3

HTTP/3 是 HTTP 协议的第三个主要版本，基于 QUIC（Quick UDP Internet Connections）协议，旨在进一步提升性能和安全性。

  • 基于UDP：

    • 不同于HTTP/1和HTTP/2基于TCP，HTTP/3基于UDP，减少了TCP的连接建立和恢复时间。

  • 零往返时间（0-RTT）连接建立：

    • HTTP/3 可以实现快速连接建立，甚至可以达到0-RTT（往返时间），显著减少了连接延迟。

  • 改进的多路复用：

    • QUIC 协议改进了多路复用机制，解决了TCP中的队头阻塞问题，并且单个流中的错误不会影响其他流。

  • 内置的TLS 1.3：

    • HTTP/3 强制使用 TLS 1.3，进一步增强了安全性，确保所有连接都经过加密。

  • 连接迁移：

    • HTTP/3 支持在不同网络之间无缝迁移连接，例如从WiFi切换到移动网络时不会中断连接。

四、HTTPS的优化

1. SSL/TLS握手优化

  • 会话恢复：为了减少SSL握手时间，可以通过会话缓存或会话票证机制恢复之前的会话，从而避免重新进行完整的握手过程。
  • False Start：客户端在发送ChangeCipherSpec之前，就发送应用数据，减少一次往返的延迟。

2. HTTP/2优化建议

  • 合并资源：减少页面中不同资源的请求数量，例如使用CSS Sprite将多个图片合并成一个。
  • 减少头部信息：尽量减少HTTP请求头的大小，避免不必要的头部字段，利用HPACK压缩。
  • 合理设置优先级：确保关键资源（如HTML文档和CSS文件）优先加载。

3. 减少TLS开销

  • 使用长寿命证书：证书的生成和验证会有一定的计算开销，适当选择长寿命证书可以减少频繁的证书更新。
  • OCSP Stapling：通过服务器预先查询证书的吊销状态，并在TLS握手时发送给客户端，减少客户端验证证书的时间。

五、常见的安全问题与防范

1. 中间人攻击（Man-in-the-Middle Attack, MITM）

  • 描述：攻击者在客户端和服务器之间拦截并篡改通信数据。
  • 防范：使用HTTPS，确保传输数据的加密和完整性，并且使用有效的证书验证机制。

2. SSL剥离攻击（SSL Stripping）

  • 描述：攻击者将HTTPS连接降级为HTTP连接，从而能够拦截明文传输的数据。
  • 防范：强制使用HSTS（HTTP Strict Transport Security）策略，确保浏览器只能通过HTTPS访问站点。

好的，接下来继续深入介绍一些常见的安全问题及其防范措施，另外列出HTTP/HTTPS的一些实际应用案例和最佳实践。

3. 跨站脚本攻击（XSS）

  • 描述：攻击者将恶意脚本注入到信任的网站中，使得访问该网站的用户的浏览器执行这些恶意脚本，从而窃取用户信息或进行其他恶意操作。
  • 防范：
    • 在服务器端对用户输入进行严格的验证和清理，尤其是在渲染到网页之前。
    • 在 HTTP 响应头中添加 Content-Security-Policy（CSP），限制可以执行的脚本源。

4. 跨站请求伪造（CSRF）

  • 描述：攻击者诱使用户在已经认证的状态下执行不想要的操作，通常是通过伪造请求。
  • 防范：
    • 在敏感操作中使用 CSRF 令牌，确保请求都是从合法来源发起的。
    • 对于状态改变的请求（如POST，请求），验证 Referer 头。

5. DNS劫持

  • 描述：攻击者通过劫持DNS请求，将用户导向恶意网站。
  • 防范：
    • 使用DNSSEC为DNS数据提供认证，确保DNS解析的正确性。
    • 确保使用HTTPS和服务器的SSL/TLS证书，防止与钓鱼网站的连接。

六、HTTP/HTTPS的最佳实践

1. 强制使用HTTPS

  • 确保所有业务流量都通过HTTPS加密传输，即使是某些不敏感的资源，也可以避免流量窃听及篡改。
  • 使用HTTP Strict Transport Security（HSTS）头，告知浏览器强制使用HTTPS访问，避免任何HTTP请求。

2. 使用有效的SSL/TLS证书

  • 选择信誉良好的证书颁发机构（CA）进行SSL/TLS证书的申请。
  • 及时更新和替换即将过期的证书，避免服务中断。

3. 定期安全审计

  • 进行定期的安全审计和渗透测试，确保系统和应用持续安全。
  • 监控访问日志，识别异常请求和潜在的安全威胁。

4. 采用最佳的加密算法

  • 确保使用强加密算法（如AES-256）和现代的TLS协议版本（如TLS 1.2或者TLS 1.3）。
  • 定期更新加密配置，禁用过时和不安全的加密协议（如SSLv2/SSLv3）。

5. 优化性能

  • 使用CDN（内容分发网络）来加速静态资源加载，减少延迟。
  • 启用HTTP/2或者HTTP/3来提升性能，充分利用其多路复用和并发请求的特点。

七、实际应用案例

1. 电商网站

在电商网站中，HTTPS是必需的，因为用户会在该平台上输入敏感信息，如信用卡信息和个人数据。使用HTTPS可以保护用户隐私，并增强用户对网站的信任。

2. 社交媒体平台

社交媒体平台需要保护用户的个人资料和消息隐私，HTTPS通过加密传输防止用户数据被窃取，确保信息的安全性和完整性。

3. 金融服务

银行和金融应用必须使用HTTPS来确保所有金融交易的安全。敏感的财务信息（如帐户、密码和交易记录）需要加密，以防信息丢失或被截获。

八、总结

掌握HTTP和HTTPS的相关知识及其安全特性，对于开发和维护现代Web应用至关重要。随着网络安全问题的日益严重，采用HTTPS已经成为保护用户数据和提高网站信任度的基本要求。

通过使用最佳实践和相关安全措施，我们可以显著提高网站的安全性，同时提升用户体验。定期关注最新的网络安全动态、协议发展以及技术趋势将帮助你在这个快速变化的领域中保持竞争力。