图解http

背景知识： TCP/IP

• TCP/IP的分层管理
  从上到下依次是 应用层，传输层，网络层，数据链路层。分层的好处，当需要改变设计时，只需要把变动的层替换掉，各层之间的接口规划好就可以了。

  • 应用层： 它决定了向用户提供应用服务时通信的活动， TCP/IP协议族内预存了各类通用的应用服务。比如FTP,DNS，HTTP
  • 传输层：提供处于网络连接中的两台计算机之间的数据传输。最熟悉的包含TCP和UDP。 网络层用来处理在网络上流动的数据包，数据包是网络传输的最小数据单位。该层规定了通过怎样的路径到达对方计算机，并把数据包传送给对方。
  • 网络层：IP。
  • 链路层：处理连接网络的硬件部分。

• TCP/IP通信传输流

  
  
  

  Snip20190619_12.png

Snip20190619_13.png

Snip20190619_12.png

Snip20190619_13.png

发送端在层与层之间传递数据时，每经过一层就会被打上一个该层所属的首部信息，反之，接收端在层与层传输数据时，每经过一层时会把对应的首部消去，这种把数据信息包装起来的做法叫做封装。
ip地址指明了节点被分配的地址，MAC地址是指网卡所属的固定地址，IP地址和MAC地址进行配对，IP地址可变化，但MAC地址基本不会更改。
使用ARP协议凭借MAC地址进行通信，arp是一种用以解析地址的协议，根据通信方的IP地址就可以反查出对应的MAC地址。

Snip20190619_14.png

这个过程类似于送快递，一级一级的中转。

IP地址和MAC地址相同点是它们都唯一，不同的特点主要有：

1. 对于网络上的某一设备，如一台计算机或一台路由器，其IP地址是基于网络拓扑设计出的，同一台设备或计算机上，改动IP地址是很容易的（但必须唯一），而MAC则是生产厂商烧录好的，一般不能改动。我们可以根据需要给一台主机指定任意的IP地址，如我们可以给局域网上的某台计算机分配IP地址为192.168.0.112 ，也可以将它改成192.168.0.200。而任一网络设备（如网卡，路由器）一旦生产出来以后，其MAC地址不可由本地连接内的配置进行修改。如果一个计算机的网卡坏了，在更换网卡之后，该计算机的MAC地址就变了。

2. 长度不同。IP地址为32位，MAC地址为48位。

3. 分配依据不同。IP地址的分配是基于网络拓扑，MAC地址的分配是基于制造商。

4. 寻址协议层不同。IP地址应用于OSI第三层，即网络层，而MAC地址应用在OSI第二层，即数据链路层。 数据链路层协议可以使数据从一个节点传递到相同链路的另一个节点上（通过MAC地址），而网络层协议使数据可以从一个网络传递到另一个网络上（ARP根据目的IP地址，找到中间节点的MAC地址，通过中间节点传送，从而最终到达目的网络）。

• 确保可靠性的TCP协议
  之前已经了解过，TCP位于传输层，提供可靠的字节流服务，所谓字节流服务指的是，为了方便传输，将大段的数据分割成以报文段(segment)为单位的数据包进行管理。为了保证可靠性，tcp采用三次握手，需要注意的是，在握手过程中，某个阶段莫名中段，tcp会以相同的顺序发送相同的数据包。
• 提供域名解析的 DNS服务
  位于应用层，提供域名到ip之间的解析服务。

Snip20190619_15.png

各种协议与http协议的关系

Snip20190619_16.png

• HTTP以及HTTPS简介
  HTTP协议用于客户端和服务端之间的通信，它的优点是简单，高效，但是不安全，HTTPS在它的基础上添加了SSL(安全套接字层)层来保证传输数据的安全问题。
  用于HTTP协议交互的信息被称为HTTP报文。请求端的报文叫请求报文，相应端的叫做响应报文。报文大致可分为报文首部和报文主体两块。两者有空行隔开。通常不一定有报文主体。报文首部主要是服务器和客户端处理的请求或响应的内容及属性。报文主体是被发送的数据。
  请求行：包含用于请求的方法，请求URI和HTTP版本。
  状态行：包含表明结果的状态码，原因短语和HTTP版本。
  首部字段：包行请求和响应的各种条件和属性的各类首部。一般有四种：通用首部，请求首部，响应首部，实体首部。

  
  
  

  Snip20190620_23.png
  
  
  

  Snip20190620_24.png

• GET 和POST请求的区别
  最直观的区别就是GET把参数包含在URL中，POST通过request body传递参数
  https://www.cnblogs.com/logsharing/p/8448446.html

Snip20190619_18.png

Snip20190619_20.png

Http是不保存状态的协议，单位了实现期望的保存状态功能，引入了cookie技术。

Get 获取 数据作为URL的参数写进Http Header 适用于查询 ；Post 邮寄 数据封装到Http Body 适用于提交；只有Post能发送上传文件 enctype="multipart/form-data". 另外浏览器会对重复提交Post进行严重⚠警告️ 所以单纯查询推荐Get

状态码由3位数字组成，第一位标识响应的类型，常用的5大类状态码如下：
1xx：表示服务器已接收了客户端的请求，客户端可以继续发送请求
2xx：表示服务器已成功接收到请求并进行处理
3xx：表示服务器要求客户端重定向
4xx：表示客户端的请求有非法内容
5xx：标识服务器未能正常处理客户端的请求而出现意外错误
常见状态码说明：
200 OK： 表示客户端请求成功
400 Bad Request： 表示客户端请求有语法错误，不能被服务器端解析
401 Unauthonzed： 表示请求未经授权，该状态码必须与WWW-Authenticate报文头一起使用
404 Not Found：请求的资源不存在，例如输入了错误的url
500 Internal Server Error： 表示服务器发生了不可预期的错误，导致无法完成客户端的请求
503 Service Unavailable：表示服务器当前不能处理客户端的请求，在一段时间后服务器可能恢复正常

• HTTPS安全性
  https提供了端对端的加密,而且不仅对数据进行了加密,还对数据完整性提供了保护.不过在讲解https的加密方式之前,我们需要先了解一下 加密算法 .

对称加密
对称加密的基本思想是: 通信双方使用同一个密钥(或者是两个可以简单地互相推算的密钥)来对明文进行加密与解密.

常见的对称加密算法有DES、3DES、AES、Blowfish、IDEA、RC5、RC6.

对称加密看起来很美好,但是密钥要怎么发送过去呢?如果直接发送过去,被中间人截获了密钥岂不是白费工夫.

非对称加密

非对称加密也叫公开密钥加密,它使用了两个密钥,一个为公钥,一个为私钥,当一个用作于加密的时候,另一个则用作解密.

这两个密钥就算被其他人知道了其中一个也不能凭借它计算出另一个密钥,所以可以公开其中一个密钥(也就是公钥),不公开的密钥为私钥

https 是在http的基础上加入了ssl证书验证。整个过程如下。

• client向server请求，服务器把带有公钥的证书发给client。
• client 会和本地的证书做对比，如果不一致，连接就中断，如果一致，就把用于对称加密的key用公钥加密后发给server。
• server收到后，用私钥来解密，拿到对应的key，之后server和client就用这个key加密数据。
  如果校验不严格，类似于charle等工具，可以冒充中间人抓包：它生成了自己的一套公钥和私钥 证书，安装在手机上。
  第一步：冒充client向server请求到公钥证书。
  第二步：冒充server，与client交互，因为client上已经有中间人下发的假的公钥证书，所以他可以骗过client，然后client用它给的公钥加密key,发送给中间人，中间人用自己的私钥解密，它就拿到了对应的key，
  第三步：用服务器的公钥加密这个key，发给server，server之后会用这个key来加密数据，然后数据对代理来说就是明文的啦。
  有人说，服务器的公钥是大家都可以拿到的，会不会不安全，不会！因为没有私钥来解密，所以并没有问题。
  重点：客户端要把服务器的公钥证书打包进去，公钥证书通常是一个cer chain。包括根证书，二级证书，三级证书，有效期只有一年，一般只验证根证书就可以了，根证书有效期比较长，并且只要求验证公钥就ok，严格校验证书不妥，因为证书会过期。