HTTP 和 HTTPS 是什么？有什么区别？

---

HTTP（超文本传输协议）与 HTTPS（超文本传输安全协议）作为应用层核心协议，基于 TCP/IP 协议栈构建，是浏览器等客户端与服务器之间实现数据通信的基础架构。

这两种协议深度融入日常软件开发全流程，无论是后端开发构建服务逻辑，还是前端开发实现用户交互，均扮演关键角色。

以 Java 后端开发为例，采用 MVC（模型-视图-控制器）架构时，后端通过设计标准化 API 接口，借助 HTTP/HTTPS 协议与前端进行数据交互：后端接收前端请求并处理数据，前端通过调用接口获取响应数据后，经解析渲染至页面，最终实现数据从服务端到用户界面的完整流转。

作为互联网最主流的通信协议，HTTP/HTTPS 以其通用性和可靠性支撑着绝大多数 Web 应用。除此之外，Socket 等通信方式在长连接、实时通信等特定场景中也发挥着不可替代的作用，共同构成了多样化的网络通信技术体系。

---

一、HTTP（超文本传输协议）

HTTP是一种无状态的协议，用于传输超文本（如HTML文档）。它定义了客户端如何请求服务器上的资源，以及服务器如何响应这些请求。

1、核心流程

HTTP作为应用层协议，基于 TCP/IP 协议栈构建，采用请求-响应模型，其工作流程可分为四个核心阶段。

• 连接建立：客户端通过 DNS 解析获取服务器 IP 后，发起 TCP 三次握手。
• 请求发送：客户端构造HTTP报文，包含请求行、头部字段、空行、实体。
• 服务器处理：服务器解析请求，定位资源，生成响应报文。
• 连接关闭：默认使用短连接，HTTP/1.1支持持久连接。

2、协议作用

• 请求和响应：客户端（如浏览器）使用HTTP请求从服务器获取资源（如网页、图片等），服务器则使用HTTP响应返回这些资源。
• 简单性和灵活性：HTTP协议简单且灵活，支持多种请求方法（如 GET、POST、PUT、DELETE 等），可以传输各种类型的数据。
• 缓存：HTTP协议支持缓存机制，可以减少网络流量和响应时间。

3、核心特性

• 无状态设计：每个请求独立处理，通过 Cookie/Session 实现状态保持。
• 明文传输：请求响应内容以ASCII文本传输，可用 Wireshark 直接捕获。
• 灵活扩展：支持自定义头部字段（如 X-Forwarded-For ）。
• 缓存机制：通过Cache-Control/ETag等头部实现多级缓存策略。

4、HTTP发展

版本	发布时间	关键特性
HTTP/0.9	1991	仅支持GET方法，无头部信息
HTTP/1.0	1996	引入状态码、头部字段、多种方法
HTTP/1.1	1997	持久连接、管道化、分块传输
HTTP/2	2015	二进制分帧、头部压缩、多路复用
HTTP/3	2022	QUIC协议、0-RTT连接、改进的拥塞控制

5、HTTP/3 新改动

HTTP/3 针对 HTTP/2 的 TCP 队头阻塞问题，改用 QUIC 协议 。

• 0-RTT 连接：首次握手后，后续请求可跳过 TLS 协商。
• 真正多路复用：不同流的数据包乱序不影响其他流。
• 更好的移动网络适应性：基于 UDP 的丢包重传更轻量。
• 内置加密：所有流量默认通过 TLS 1.3 传输，增强安全性。

二、HTTPS（超文本传输安全协议）

HTTPS 是 HTTP 的安全版本，在 HTTP 的基础上加入 SSL/TLS 层来 提供数据加密 和 身份验证功能 ，即 HTTPS = HTTP + SSL/TLS 。

1、HTTPS 协议作用

• 数据加密：HTTPS 使用 SSL/TLS 协议对数据进行加密，确保数据在传输过程中的安全性和完整性，防止数据被窃取或篡改。
• 身份验证：HTTPS 要求服务器提供有效的 SSL/TLS 证书来验证其身份，确保客户端与正确的服务器建立连接，防止中间人攻击。
• 隐私保护：由于HTTPS对数据进行加密，它可以保护用户的隐私信息，如密码、信用卡信息等，在传输过程中不被泄露。

2、SSL/TLS 安全层

SSL/TLS 层是在HTTP协议的基础上加入的安全层，用于提供数据加密和身份验证功能。SSL（安全套接字层）及其继任者TLS（传输层安全性）是为网络通信提供安全及数据完整性的一种安全协议。

工作原理：通过加密技术确保数据在网络传输过程中不会被截取或窃听，同时也提供身份验证机制，确保数据被发送到正确的客户端和服务器上。

HTTPS = HTTP + SSL/TLS，形成四层安全防护：

• 加密传输：对称加密（ AES ）与非对称加密（ RSA/ECC ）结合。
• 身份认证：基于 X.509 数字证书的信任链验证。
• 完整性校验：HMAC 算法防止数据篡改。
• 防重放攻击：序列号机制保障数据新鲜性。

SSL/TLS协议的工作原理主要分为握手阶段和数据传输阶段。

• 在握手阶段，客户端和服务器通过一系列步骤交换信息并协商加密参数，生成会话密钥。
• 在数据传输阶段，发送方使用会话密钥对数据进行加密，并通过SSL/TLS协议传输给接收方，接收方使用相同的会话密钥解密数据。

这种加密通信方式确保了通信的安全性和数据的完整性。总的来说，SSL/TLS层在HTTP协议的基础上增加了安全性，使得数据在传输过程中能够得到有效的保护。

三、HTTP 和 HTTPS 的全面对比

1、安全维度对比

• HTTP：HTTP 协议不加密传输的数据，因此它不适合传输敏感信息，如密码、信用卡信息等。
  • HTTP的数据包在传输过程中是明文的，这意味着任何可以访问网络路径的人都可以查看或篡改传输的数据。
• HTTPS：HTTPS协议通过SSL/TLS加密传输的数据，确保数据在传输过程中的安全性和完整性。
  • 这意味着即使有人能够访问网络路径，也无法查看或篡改加密的数据。
  • HTTPS能够保护用户数据免受中间人攻击和其他类型的网络攻击。

安全属性	HTTP	HTTPS
数据加密	明文传输	AES-256加密
身份验证	无	证书验证
完整性保护	无	HMAC-SHA256
防中间人攻击	不可防护	完全防护

2、其他维度对比

• URL
  • HTTP：HTTP协议的URL通常以 http:// 开头，例如 http://www.example.com 。
  • HTTPS：HTTPS协议的URL通常以 https:// 开头例如 https://secure.example.com 。
• 端口
  • HTTP默认使用 80 端口。
  • HTTPS默认使用 443 端口。
• 证书
  • HTTP不需要 SSL/TLS 证书。
  • HTTPS需要一个有效的 SSL/TLS 证书来验证服务器的身份，并确保数据在客户端和服务器之间安全传输。
• 性能
  • 由于HTTPS需要加密和解密数据，因此相对于HTTP，HTTPS可能会有一些性能开销。
  • 然而，随着硬件和加密技术的进步，这种性能差异已经变得越来越小。
• 浏览器显示
  • 当用户访问HTTPS网站时，大多数现代浏览器会在地址栏中显示一个锁图标或类似的安全指示符，以表明该连接是安全的。
  • 对于HTTP网站，浏览器通常不会显示任何特殊的安全指示。

3、性能开销优化实践

虽然 HTTPS 增加计算开销，但通过以下技术可达到 <5% 的性能损耗。

• TLS 1.3协议：减少RTT次数，实现1-RTT握手
• 会话恢复：Session ID/Ticket机制复用加密参数
• OCSP Stapling：避免证书状态查询延迟
• HTTP/2优化：头部压缩减少传输数据量
• 硬件加速：支持AES-NI指令集的CPU加速加密

四、行业应用全景与趋势洞察

• 对于需要传输敏感信息的场景（如网上银行、电子商务等），HTTPS 是更好的选择。
• 而对于一些不需要传输敏感信息的场景，可以使用 HTTP ，但需要注意数据的安全性。
• 在实际应用中，越来越多的网站和服务开始采用 HTTPS 来保障用户数据的安全。

1、行业采用率统计

领域	HTTPS覆盖率	关键驱动因素
金融支付	100%	PCI DSS合规要求
电子商务	98.7%	用户信任建立
政务网站	95.2%	等保2.0要求
医疗健康	89.3%	HIPAA隐私保护
社交媒体	99.1%	防止数据泄露

2、技术演进趋势

• QUIC 协议普及：Google 推动的 HTTP/3 标准将全面采用 UDP+QUIC 。
• 后量子加密：NIST 正在标准化抗量子计算攻击的加密算法。
• 自动化证书管理：ACME v2 协议支持通配符证书自动续期。
• 零信任架构：基于 mTLS 的微服务间双向认证成为趋势。

3、迁移决策树

通过全面实施 HTTPS ，组织不仅可以满足合规性要求，更能构建用户信任的数字护城河。

根据Gartner预测，到2025年未部署HTTPS的网站将失去90%的自然流量。