介绍

超文本传输协议HTTP(HT转T转P协议)是一种应用层协议，使用TCP连接进行可靠传输。是一种传输协议，用于将超文本从万维网服务器传输到本地浏览器。HTTP协议在客户机-服务器体系结构上工作。浏览器作为HTTP客户端，通过URL向HTTP服务器即WEB服务器发送所有请求。根据接收到的请求，Web服务器向客户端发送响应信息。HTTP的URL的一般形式是http://主机：端口/路径，HTTP的默认端口是80。

特点

支持客户端/服务器模式:客户端(浏览器)通过URL向服务器发送请求，服务器收到请求后进行处理，并将响应信息发送给客户端。简单快速:浏览器只需要将请求路径和方法发送给服务器。灵活:任何类型的数据，如文本、图片、音频、视频等。被允许传输。无连接:每个连接只处理一个请求。服务器处理完请求后，响应客户端，收到确认后断开连接。从HTTP/1.1开始，默认使用长连接，即服务器处理完请求后要等待一段时间才能断开连接，在这段时间内可以继续接受请求。无状态:该协议没有请求处理的记忆，并且如果后续请求需要先前请求的信息，它们需要重新传输。

版本

HTTP/0.9:这是HTTP协议的第一个版本，已经过时了。它的组成极其简单，只允许客户端发送GET请求，不支持请求头。因为没有协议头，HTTP/0.9协议只支持一种内容，就是纯文本。HTTP/1.0:这是在通信中指定版本号的HTTP协议的第一个版本，它仍然被广泛使用，尤其是在代理服务器中。默认情况下采用HTTP/1.1:长连接，它与代理服务器配合得很好。还支持流水线同时发送多个请求，减轻线路负荷，提高传输速度。这个版本是目前的主流版本，也是本文解释的版本。

HTTP/1.1和HTTP/1.0协议的区别主要体现在：缓存处理带宽的优化和网络连接的使用；维护在网络中发送带有错误通知的管理消息的安全性和完整性；HTTP/2.0:于2015年5月作为互联网标准正式发布。

报文结构

HTTP有两种类型的消息：

请求消息，从浏览器发送到服务器的消息。响应消息，从服务器回复到浏览器。请求消息的一般格式如下：

GET/HTTP/1.1 host : www . Baidu.com connection : keep-alive user-agent : Mozilla/5.0(windows nt 10.0；Win64x64)AppleWebKit/537.36(KHTML，like gecko)Chrome/71 . 0 . 3578 . 80 safari/537.36 accept : text/html，application/xhtml xml，application/XML；q=0.9，image/webp，image/apng，*/*；q=0.8Accept-Encoding:gzip，deflate，brAccept-Language:zh-CN，zh；q=0.9，en-US；q=0.8，en；Q=0.7响应消息的一般格式如下：

HTTP/1.1200 ok connection : keep-alive content-encoding : gzip content-type : text/html content-length :28

执行过程

在用户在浏览器地址栏中输入正确的URL并点击回车键后。一个完整的HTTP请求包括以下过程：

DNS解析：浏览器查询DNS缓存(浏览器缓存-系统缓存-路由器缓存-ISP缓存-根域名服务器缓存)。获取URL对应的IP地址并建立TCP连接：根据DNS返回的IP和端口建立TCP连接，向服务器发送HTTP请求处理请求并返回HTTP响应消息，关闭TCP连接浏览器，解析并渲染页面

GET请求和POST请求的区别

，将Get请求参数直接放在URL后面并显示在浏览器地址栏中。URL长度会受到限制，这是来自Chrome、Firefox等浏览器，而不是HTTP协议本身。POST请求参数是报纸样式的，所以POST请求的安全性略高。GET请求有幂等性和安全性,POST没有。在HTTP/1.1规范中，幂等性的定义是：方法& quot想法的力量& quot在这个问题上，不一致的要求会产生副作用。

measforasinglerequest.意思是一次和多次请求某一个资源应该具有同样的副作用，而安全性是指GET请求不会破坏数据库中的数据。GET请求可以被缓存（浏览器、CDN等），而POST请求不能。

响应状态码

HTTP响应状态码都是三位数字的，分为5类共33种：

1xx：表示通知信息，如请求收到了，或正在执行2xx：表示成功3xx：表示重定向，如要完成请求还必须采取进一步的行动4xx：表示客户端的差错，如请求中有错误的语法或不能完成5xx：表示服务器的差错，如服务器失效或者无法完成请求

无状态协议

HTTP协议是无状态的（stateless）。也就是说，同一个客户端第二次访问同一个服务器上的页面时，服务器响应与第一次被访问时相同（如果服务器尚未更新该页面），因为服务器并不知道这个客户端是否访问过自己，也不知道访问过几次。HTTP无状态特性简化了服务器的设计，使服务器更容易支持大量并发的HTTP请求。

这样做虽然简化了服务器的设计，但在实际工作中，一些站点却常常希望能够识别用户。例如网上购物，一个顾客要购买多种物品。当他把选好的物品加入购物车后，又要去浏览其他商品。因此网站需要识别该用户，使该用户后续选购的商品能够加入同一个“购物车”，这样便于集中结账。要做到这点，可以使用Cookie来跟踪用户。用于HTTP服务器和客户端之间传递状态信息。其工作原理如下：

客户端访问支持Cookie的网站，提交用户名，密码等能验证身份的信息服务器在响应头中回复Set-Cookie字段，以文本文件的形式保存在客户端（浏览器）客户端以后的请求都会在请求头中带上Cookie字段服务器识别身份，作出响应

总之Cookie是服务器根据用户提交的身份信息，生成唯一的识别码，并且以文本文件的形式存储在客户端的。

服务器为了维护用户状态，定义了一种机制：Session（会话）。Session对象存储特定用户会话所需的属性及配置信息。这样，当用户在应用程序的Web页之间跳转时，存储在Session对象中的变量将不会丢失，而是在整个用户会话中一直存在下去。当用户请求来自应用程序的Web页时，如果该用户还没有会话，则Web服务器将自动创建一个Session对象。当会话过期或被放弃后，服务器将终止该会话。Session的实现方式主要有两种：

使用Cookie来实现
服务器根据用户提交的身份验证信息，生成一个sessionid，然后以Set-Cookie的形式返回给客户端，客户端每次请求都带上sessionid，服务器就可以识别用户身份，维护会话状态。使用URL回写，是指浏览器发送给客户端的所有URL后面，加上JSESSIONID这个参数，如果不加则无法验证用户身份。

两种方式都离不开JSESSIONID（不同语境下这个参数名不同，且可以自定义），一种是放在请求头中传递，一种是以参数形式传递。由于Cookie属于浏览器实现，Session由服务器维护，所以常说Cookie存在浏览器，Session存在服务端。

HTTPS

HTTPS（HyperTextTransferProtocolSecure）超文本传输安全协议，默认端口443。HTTPS经由HTTP进行通信，但利用SSL/TLS来加密数据包。HTTPS开发的主要目的，是提供对网站服务器的身份认证，保护交换数据的隐私与完整性。

SSL（SecureSocketsLayer）安全套接层，为网络通信提供安全以及数据完整性的一种安全协议，3.0后的版本改名为TLS（TransportLayerSecurity）传输层安全协议，主要采用身份认证和数据加密等手段来保证传输安全。其数据传输流程如下：

浏览器向服务器发送加密通信的请求（ClientHello），请求中包含如下内容：支持的SSL/TLS版本支持的加密算法一个随机数(RNc=RandomNumberofClient）支持的压缩算法服务器收到请求后响应（ServerHello）如下信息：确认使用的SSL/TLS版本，如果服务器和浏览器支持的版本不一致，服务器关闭加密通道确认使用的加密算法一个随机数(RNs=RandomNumberofServer)服务器证书浏览器收到证书校验证书的合法性，证书是否受到信任会在浏览器地址栏标识出来。生成一个随机数pre-mastersecret，并用证书中的服务器的公钥加密，发送给服务器。服务器收到数据后，使用自己的私钥解密。此时浏览器和服务器都拥有了三个随机数RNc、RNs和pre-mastersecret，双方通过这三个随机数生成一致的对称加密使用的秘钥。

以上是TCP三次握手+SSL/TLS四次握手过程。
下面结合Wireshark（win64下载地址：Wireshark-win64-2.6.6.exe）来具体看看握手过程：

看第一列序号，23、26、27分别是TCP三次握手过程。31是TLS第一次握手，33,34,35是TLS第二次握手，这次握手的数据分一次传输还是多次传输，不同的服务器有不同的实现。37、45分别TLS是第三、四次握手。接下来具体看看每次握手传输具体信息。

第一次握手（ClientHello）第二次握手（ServerHello）第三次握手
ChangeCipherSpec：表示自己已经生成了新的秘钥，并且告知对方，以后就用新的秘钥通信。
EncryptedHandshakeMessage：用新秘钥加密规定好的测试信息传输给对方，用于验证双方新的秘钥是否一致。第四次握手
ChangeCipherSpec：表示自己已经生成了新的秘钥，并且告知对方，以后就用新的秘钥通信。
EncryptedHandshakeMessage：用新秘钥加密规定好的测试信息传输给对方，用于验证双方新的秘钥是否一致。
NewSessionTicket：用于刚刚建立的会话，在接下来的一段时间，双方都以刚刚交换的秘钥进行通信。

总结

运行在SSL/TLS上的HTTP就是HTTPS。

作者：Sicimike

原文链接：https://blog.csdn.net/Baisitao_/article/details/86079587