TCP/IP篇(4)--协议应用层-HTTP协议

一、HTTP是什么

---

HTTP：请求响应机制。

用于从万维网（WWW:World Wide Web ）服务器传输超文本到本地浏览器的传送协议。基于TCP/IP通信协议来传递数据（HTML 文件, 图片文件, 查询结果等）。

同时属于应用层的面向对象的协议，由于其简捷、快速的方式，适用于分布式超媒体信息系统。HTTP客户端通过URL向HTTP服务端发送所有请求。Web服务器根据接收到的请求后，向客户端发送响应信息。

HTTP底层协议：TCP 协议

主要特点

1、简单快速：客户向服务器请求服务时，只需传送请求方法和路径。请求方法常用的有GET、HEAD、POST。每种方法规定了客户与服务器联系的类型不同。由于HTTP协议简单，使得HTTP服务器的程序规模小，因而通信速度很快。

2、灵活：HTTP允许传输任意类型的数据对象。正在传输的类型由Content-Type加以标记。

3、无连接：无连接的含义是限制每次连接只处理一个请求。服务器处理完客户的请求，并收到客户的应答后，即断开连接。采用这种方式可以节省传输时间。

4、无状态：HTTP协议是无状态协议。无状态是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。另一方面，在服务器不需要先前信息时它的应答就较快。

5、支持B/S及C/S模式。

二、HTTP属性之URL

HTTP使用统一资源标识符（Uniform Resource Identifiers, URI）来传输数据和建立连接。URL是一种特殊类型的URI（互联网上用来标识某一处资源的地址），包含了用于查找某个资源的足够的信息

一个完整的URL包括以下几部分：

1、协议部分：该URL的协议部分为“http：”，这代表使用的是HTTP协议。在Internet中可以使用多种协议，如HTTP，FTP等等。在"HTTP"后面的“//”为分隔符

2、域名部分：在互联网上注册的域名。一个URL中，也可以使用IP地址作为域名使用

3、端口部分：跟在域名后面的是端口，域名和端口之间使用“:”作为分隔符。端口不是一个URL必须的部分，如果省略端口部分，将采用默认端口

4、虚拟目录部分：从域名后的第一个“/”开始到最后一个“/”为止，是虚拟目录部分。虚拟目录也不是一个URL必须的部分。

5、文件名部分：从域名后的最后一个“/”开始到“？”为止，是文件名部分，

如果没有“?”,则是从域名后的最后一个“/”开始到“#”为止，是文件部分，

如果没有“？”和“#”，那么从域名后的最后一个“/”开始到结束，都是文件名部分。文件名部分也不是一个URL必须的部分，如果省略该部分，则使用默认的文件名

6、锚部分：从“#”开始到最后，都是锚部分。锚部分也不是一个URL必须的部分

7、参数部分：从“？”开始到“#”为止之间的部分为参数部分，又称搜索部分、查询部分。参数可以允许有多个参数，参数与参数之间用“&”作为分隔符。

三、HTTP属性之请求消息Request

---

客户端发送一个HTTP请求到服务器的请求消息包括以下格式：

请求行（request line）、请求头部（header）、空行和请求数据四个部分组成。

第一部分：请求行，用来说明请求类型,要访问的资源以及所使用的HTTP版本.

第二部分：请求头部，紧接着请求行（即第一行）之后的部分，用来说明服务器要使用的附加信息

第三部分：空行，请求头部后面的空行是必须的

第四部分：请求数据也叫主体，可以添加任意的其他数据。（即使第四部分的请求数据为空，也必须有空行。）

四、HTTP属性之响应消息Response

---

一般情况下，服务器接收并处理客户端发过来的请求后会返回一个HTTP的响应消息。

HTTP响应也由四个部分组成，分别是：状态行、消息报头、空行和响应正文。

第一部分：状态行，由HTTP协议版本号， 状态码， 状态消息 三部分组成。

第二部分：消息报头，用来说明客户端要使用的一些附加信息

第二行和第三行为消息报头，

Date:生成响应的日期和时间；

Content-Type:指定了MIME类型的HTML(text/html),编码类型是UTF-8

第三部分：空行，消息报头后面的空行是必须的

第四部分：响应正文，服务器返回给客户端的文本信息。

五、HTTP属性之状态码

---

状态代码有三位数字组成，第一个数字定义了响应的类别，共分五种类别:

状态码	类别	原因短语
1XX	Informational (信息性状态码)	接收的请求正在处理
2XX	Success (成功状态码)	请求正常处理完毕
3XX	Redirection (重定向状态码)	需要进行附加操作以完成请求
4XX	Client Error (客户端错误状态码)	服务器无法处理请求
5XX	Server Error (服务器错误状态码)	服务器处理请求出错

常见状态码：

200 //客户端请求成功

400 //客户端请求有语法错误，不能被服务器所理解

401 //请求未经授权，这个状态代码必须和WWW-Authenticate报头域一起使用

403 //服务器收到请求，但是拒绝提供服务

404 //请求资源不存在，eg：输入了错误的URL

500 //服务器发生不可预期的错误

503 //服务器当前不能处理客户端的请求，一段时间后可能恢复正常

六、HTTP请求方法

---

根据HTTP标准，HTTP请求可以使用多种请求方法。

HTTP1.0定义了三种请求方法： GET, POST 和 HEAD方法。

HTTP1.1新增了五种请求方法：OPTIONS, PUT, DELETE, TRACE 和 CONNECT 方法。

GET：请求指定的页面信息，并返回实体主体。

HEAD：类似于get请求，只不过返回的响应中没有具体的内容，用于获取报头

POST：向指定资源提交数据进行处理请求（例如提交表单或者上传文件）。数据被包含在请求体中。POST请求可能会导致新的资源的建立和/或已有资源的修改。

PUT：从客户端向服务器传送的数据取代指定的文档的内容。

DELETE：请求服务器删除指定的页面。

CONNECT  HTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器。

OPTIONS  允许客户端查看服务器的性能。

TRACE    回显服务器收到的请求，主要用于测试或诊断。

七、HTTP属性之工作原理

---

以下是 HTTP 请求/响应的步骤：

1、客户端连接到服务器

2、发送HTTP请求：通过TCP套接字，客户端向服务器发送一个文本的请求报文，一个请求报文由请求行、请求头部、空行和请求数据4部分组成。

3、服务器接受请求并返回HTTP响应：服务器将资源复本写到TCP套接字，由客户端读取。一个响应由状态行、响应头部、空行和响应数据4部分组成。

4、释放连接TCP连接 

若connection 模式为close，则服务器主动关闭TCP连接，客户端被动关闭连接，释放TCP连接;

若connection 模式为keepalive，则该连接会保持一段时间，在该时间内可以继续接收请求;

5、客户端浏览器解析服务器传回来的内容

首先解析状态行，查看表明请求是否成功的状态代码。

然后解析每一个响应头，并使用

备注：

（1）GET和POST的区别

A.提交方式

GET提交，请求的数据会附在URL之后（就是把数据放置在HTTP协议头中），以?分割URL和传输数据，多个参数用&连接

POST提交：把提交的数据放置在是HTTP包的包体中。

因此，GET提交的数据会在地址栏中显示出来，而POST提交，地址栏不会改变

B.提交的数据大小

GET:提交的数据大小有限制（因为浏览器对URL的长度有限制）

POST:提交的数据没有限制.

C.安全性

GET方式提交数据，会带来安全问题（如登录时使用Get方式，会暴露用户名和密码）

POST的安全性要比GET的安全性高。

（2）HTTP与HTTPS的区别以及如何实现安全性

1.Url开头：HTTP 的 URL 以 HTTP:// 开头，而 HTTPS 的 URL 以 HTTPs:// 开头；

2.安全性：HTTP 是不安全的，而 HTTPS 是安全的。HTTP协议运行在TCP之上，所有传输的内容都是明文，HTTPS运行在SSL/TLS之上，SSL/TLS运行在TCP之上，所有传输的内容都经过加密的。

3.传输效率：传输效率上 HTTP 要高于 HTTPS ，因为 HTTPS 需要经过加密过程，过程相比于 HTTP 要繁琐一点，效率上低一些也很正常；

4.费用：HTTP 无需证书，而 HTTPS 必需要认证证书；相比于 HTTP 不需要证书来说，使用 HTTPS 需要证书，申请证书是要费用的，HTTPS 这笔费用是无法避免的

5.端口：HTTP和HTTPS使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。

6.防劫持性：HTTPS可以有效的防止运营商劫持，解决了防劫持的一个大问题。

（3）HTTP1.0与2.0的区别

1.新的二进制格式（Binary Format）：

HTTP1.x的解析是基于文本。（文本的表现形式有多样性，要考虑的场景很多才能做到健壮性）

基于这种考虑HTTP2.0的协议解析决定采用二进制格式，实现方便且健壮。

2.HTTP2.0比HTTP1.0有路复用（MultiPlexing）：

即连接共享，即每一个request都是是用作连接共享机制的。一个request对应一个id，这样一个连接上可以有多个request，每个连接的request可以随机的混杂在一起，接收方可以根据request的 id将request再归属到各自不同的服务端请求里面。

3.header压缩：

HTTP1.x的header带有大量信息，而且每次都要重复发送，

HTTP2.0使用encoder来减少需要传输的header大小，通讯双方各自cache一份header fields表，既避免了重复header的传输，又减小了需要传输的大小。

4.服务端推送（server push）：

HTTP2.0也具有server push功能。

（4）https中哪里用了对称加密，哪里用了非对称加密，对加密算法（如RSA）等是否有了解

加密算法一般分为两种：对称加密和非对称加密。

A.对称加密（Symmetric Key Algorithms）

对称加密算法使用的加密和解密的密钥一样，比如用秘钥123加密就需要用123解密。实际中秘钥都是普通数据在互联网传输的，这样秘钥可能会被中间人截取，导致加密被破解。

加密：将消息与秘钥通过加密算法加密出加密后的密文

解密：将加密后的密文与秘钥解密出消息

常用的对称加密算法包括：

（1）DES（Data Encryption Standard）：数据加密标准，速度较快，适用于加密大量数据的场合。

（2）3DES（Triple DES）：是基于DES，对一块数据用三个不同的密钥进行三次加密，强度更高。

（3）AES（Advanced Encryption Standard）：高级加密标准，是下一代的加密算法标准，速度快，安全级别高；

对称加密算法的特点主要有：

（1）加密方和解密方使用同一个密钥；

（2）加解密的速度比较快，适合数据比较长时使用；

（3）密钥传输的过程不安全，且容易被破解，密钥管理也比较麻烦。

B.非对称加密（Asymmetric Key Algorithms）

所谓非对称，是指该算法需要一对密钥，使用其中一个加密，则需要用另一个才能解密。把密钥分为公钥和私钥，公钥是公开的所有人都可以认领，私钥是保密的只有一个人知道。

非对称加密算法主要有：

（1）RSA：由 RSA 公司发明，是一个支持变长密钥的公共密钥算法，需要加密的文件块的长度也是可变的；

（2）DSA（Digital Signature Algorithm）：数字签名算法，是一种标准的 DSS（数字签名标准）；

（3）ECC（Elliptic Curves Cryptography）：椭圆曲线密码编码学。

假如发送方有一对密钥：私钥（KA）和公钥（KPA），接收方也生成一对密钥：私钥（KB）和公钥（KPB），其中（KPA）和（KPB）是公开的。

发送方用接收方的公钥对消息加密，将消息与接收方的公钥加密，生成加密后的密文。【   E=ENC（M，KPB）  】

接收方接收到密文后使用自己的私钥进行解密，将加密的密文与接收方的私钥解密，生成解密后的消息【  M=ENC（E，KB）  】

这样，即使密文被中间人截获，由于其不知道接收方的私钥，无法破解密文，所以消息仍然是安全的。

RSA的安全性是基于极大整数因数分解的难度。

客户端发起 HTTPS 请求，服务端返回证书，客户端对证书进行验证，验证通过后本地生成用于改造对称加密算法的随机数，通过证书中的公钥对随机数进行加密传输到服务端，服务端接收后通过私钥解密得到随机数，之后的数据交互通过对称加密算法进行加解密

 更多内容：

TCP/IP篇(1)--协议模型

TCP/IP篇(2)--协议网络互联层-IP协议

TCP/IP篇(3)--协议传输层-TCP和UDP

TCP/IP篇(4)--协议应用层-HTTP协议