为什么说HTTPS比HTTP安全? HTTPS是如何保证安全的？

HTTPS (HyperText Transfer Protocol Secure) 是 HTTP (HyperText Transfer Protocol) 的安全版本，它通过加密技术提供了比 HTTP 更高的安全性。在现实项目中，HTTPS 已经成为了数据传输的标准，尤其是在涉及敏感信息（如个人数据、支付信息等）的场景中。

1. HTTPS 比 HTTP 安全的原因

1.1 加密 (Encryption)

• HTTP：HTTP 协议本身不加密数据，所有传输的内容都是明文的。这意味着任何第三方（如黑客）可以拦截并读取这些数据。

• HTTPS：HTTPS 使用 SSL/TLS（安全套接层 / 传输层安全）协议对数据进行加密。这意味着，即便有人截获了通信数据，他们也无法理解其中的内容，因为它被加密了。

1.2 数据完整性 (Data Integrity)

• HTTP：HTTP 协议并不保证数据在传输过程中不被篡改。如果数据在传输过程中被恶意修改，接收方无法知道数据是否被改变。

• HTTPS：HTTPS 使用加密技术保证数据的完整性，防止数据在传输过程中被篡改。如果数据在传输过程中被篡改，接收方能够检测到并拒绝接收该数据。

1.3 身份验证 (Authentication)

• HTTP：HTTP 协议无法验证服务器的身份，容易受到中间人攻击（MITM攻击）。攻击者可能伪造一个与目标网站相似的服务器，窃取用户的敏感信息。

• HTTPS：HTTPS 使用 SSL/TLS 证书来验证服务器的身份。每个合法的 HTTPS 网站都会拥有一个由可信证书颁发机构（CA）签发的证书，确保用户正在与真实的网站进行通信，防止被伪造网站欺骗。

---

2. HTTPS 如何保证安全

HTTPS 的安全性主要来源于 SSL/TLS 协议的加密技术，包含以下几个关键步骤：

2.1 SSL/TLS 握手过程

1. 客户端发起请求：浏览器（客户端）向服务器发起连接请求，发送一个 ClientHello 消息，告知服务器客户端支持的加密算法等信息。

2. 服务器响应：服务器返回一个 ServerHello 消息，选择加密算法，并发送其数字证书（包含服务器的公钥和证书链）。

3. 证书验证：客户端验证服务器的数字证书，确保该证书是由可信的证书颁发机构（CA）签发的，且证书没有过期或被吊销。

4. 生成共享密钥：一旦证书验证成功，客户端和服务器将进行密钥交换（使用公钥加密和私钥解密技术），生成一个对称密钥，用于后续的加密通信。

5. 加密通信：客户端和服务器使用对称加密算法（如 AES）加密数据，确保数据在传输过程中的安全性。

2.2 加密算法

HTTPS 中常用的加密算法包括：

• 对称加密：客户端和服务器之间使用相同的密钥进行数据加密和解密。常见的对称加密算法包括 AES。
• 非对称加密：在握手过程中使用公钥加密数据，私钥解密数据。常见的非对称加密算法包括 RSA 和 ECC。
• 哈希算