网络 - HTTP与HTTPS工作原理 - 《Java 技术文档》

HTTP协议
HTTPS协议
参考资料

HTTP协议

HTTP协议主要应用是在服务器和客户端之间，客户端接受超文本。

服务器按照一定规则，发送到客户端（一般是浏览器）的传送通信协议。与之类似的还有文件传送协议(file transfer protocol,FTP)，简单邮件传送协议(simple mail ttransfer protocol,SMTP)等。

HTTP是在七层网络模型中的应用层的协议，由发送请求和接受响应构成，是一个标准的客户端服务器模型。与此同时，HTTP是一个无状态的协议。也就是说，不能通过一个状态判断连接的状态，因此有时候，计算机之间通信需要通过其他协议来协同工作，一起提供支持。

根据HTTP标准，HTTP请求可以使用多种不同的请求方法。例如：HTTP1.1允许支持七种请求方法（也叫“动作”）：GET、POST、HEAD、OPTIONS、PUT、DELETE和TARCE

在客户机和服务器之间进行请求-响应时，最常被用到的方法是GET 和 POST。

GET - 从指定的资源请求数据。
POST - 向指定的资源提交要被处理的数据

GET一般用于获取/查询资源信息，而POST一般用于更新资源信息。

根据HTTP规范，GET用于信息获取，而且应该是安全的和幂等的 。

1.所谓安全的意味着该操作用于获取信息而非修改信息。换句话说，GET请求一般不应产生副作用。就是说，它仅仅是获取资源信息，就像数据库查询一样，不会修改，增加数据，不会影响资源的状态。

2.幂等的意味着对同一URL的多个请求应该返回同样的结果。

有关 GET 请求的其他一些注释：

GET 请求可被缓存
GET 请求保留在浏览器历史记录中
GET 请求可被收藏为书签
GET 请求不应在处理敏感数据时使用
GET 请求有长度限制
GET 请求只应当用于取回数据

有关 POST 请求的其他一些注释：

POST 请求不会被缓存
POST 请求不会保留在浏览器历史记录中
POST 不能被收藏为书签
POST 请求对数据长度没有要求 | | GET | POST | | —- | —- | —- | | 后退按钮/刷新 | 无害 | 数据会被重新提交（浏览器应该告知用户数据会被重新提交）。 | | 书签 | 可收藏为书签 | 不可收藏为书签 | | 缓存 | 能被缓存 | 不能缓存 | | 编码类型 | application/x-www-form-urlencoded | application/x-www-form-urlencoded 或 multipart/form-data。为二进制数据使用多重编码。 | | 历史 | 参数保留在浏览器历史中。 | 参数不会保存在浏览器历史中。 | | 对数据长度的限制 | 是的。当发送数据时，GET 方法向 URL 添加数据；URL 的长度是受限制的（URL 的最大长度是 2048 个字符）。 | 无限制。 | | 对数据类型的限制 | 只允许 ASCII 字符。 | 没有限制。也允许二进制数据。 | | 安全性 | 与 POST 相比，GET 的安全性较差，因为所发送的数据是 URL 的一部分。在发送密码或其他敏感信息时绝不要使用 GET ！ | POST 比 GET 更安全，因为参数不会被保存在浏览器历史或 web 服务器日志中。 | | 可见性 | 数据在 URL 中对所有人都是可见的。 | 数据不会显示在 URL 中。 |

HTTPS协议

Https是一种基于SSL/TLS的Http协议，所有的http数据都是在SSL/TLS协议封装之上传输的。
Https协议在Http协议的基础上，添加了SSL/TLS握手以及数据加密传输，也属于应用层协议。
HTTP协议运行在TCP之上，所有传输的内容都是明文，客户端和服务器端都无法验证对方的身份。
HTTPS是运行在SSL/TLS之上的HTTP协议，SSL/TLS运行在TCP之上。所有传输的内容都经过加密，加密采用对称加密，但对称加密的密钥用服务器方的证书进行了非对称加密。
TLS/SSL中使用了非对称加密，对称加密以及HASH算法。

对称加密和非对称加密

对称加密是指加密和解密使用的密钥是同一个密钥，或者可以相互推算。
对称加密的优点是算法简单，加解密效率高，系统开销小，适合对大数据量加密。
缺点是解密加密使用同一个密钥，需要考虑远程通信的情况下如何安全的交换密钥，如果密钥丢失，
所谓的加密解密就失效了。

非对称加密和解密使用的密钥不是同一密钥，其中一个对外界公开，被称为公钥，另一个只有所有者知道，
称作私钥。
用公钥加密的信息必须用私钥才能解开，反之，用私钥加密的信息只有用公钥才能解开。

HTTPS一般使用的加密与HASH算法

非对称加密算法：RSA，DSA/DSS
对称加密算法：AES，RC4，3DES
HASH算法：MD5，SHA1，SHA256

MD5

MD5 只是一种哈希算法。
哈希算法，即 hash，又叫散列算法，是一类把任意数据转换为定长（或限制长度）数据的算法统称。例如我叫张三，你叫李四，那么「人 -> 人名」的算法就叫属于一种哈希算法。哈希算法通常用于制作数字指纹，数字指纹的意思就是「你看到这个东西就像看到原数据一样」，例如我们在一些网站下载大文件的时候，网站提供给我们验证文件完整性的 MD5 或者 SHA1 码，就是原文件的哈希值。哈希算法有很多种，MD5 是其中的一种，这就是 MD5。所以，优秀的哈希算法通常需要具有低碰撞概率（即不同数据的哈希值通常也不一样）。

握手过程的简单描述

1.浏览器将自己支持的一套加密规则发送给网站。

2.网站从中选出一组加密算法与HASH算法，并将自己的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址，加密公钥，以及证书的颁发机构等信息。

3.获得网站证书之后浏览器要做以下工作：
a) 验证证书的合法性（颁发证书的机构是否合法，证书中包含的网站地址是否与正在访问的地址一致等），如果证书受信任，则浏览器栏里面会显示一个小锁头，否则会给出证书不受信的提示。
b) 如果证书受信任，或者是用户接受了不受信的证书，浏览器会生成一串随机数的密码，并用证书中提供的公钥加密。
c) 使用约定好的HASH计算握手消息，并使用生成的随机数对消息进行加密，最后将之前生成的所有信息发送给网站。

4.网站接收浏览器发来的数据之后要做以下的操作：

a) 使用自己的私钥将信息解密取出密码，使用密码解密浏览器发来的握手消息，并验证HASH是否与浏览器发来的一致。
b) 使用密码加密一段握手消息，发送给浏览器。

5.浏览器解密并计算握手消息的HASH，如果与服务端发来的HASH一致，
此时握手过程结束，之后所有的通信数据将由之前浏览器生成的随机密码并利用对称加密算法进行加密。

这里浏览器与网站互相发送加密的握手消息并验证，目的是为了保证双方都获得了一致的密码，并且可以正常的加密解密数据，为后续真正数据的传输做一次测试。