一、背景

   最近專案采用的HTTP協議傳輸，我從未涉及過HTTP的基礎理論知識，因此在網上找到一本也很意思的《圖解HTTP》，它的圖文并茂生動形象解釋了HTTP的基礎知識，不會一味的枯燥無味，對我們這種小白喜歡看書犯困來說，非常的友好，《圖解HTTP》共分為11章，以下內容分享讀書筆記，

二、圖解HTTP

第1章    了解Web及網路基礎

本章概述了Web是建立在何種技術之上，以及HTTP協議是如何誕生并發在的，

Web 和HTTP的誕生

   1989年3月，為知識共享而規劃Web，隨著Web的誕生，HTTP協議也就誕生了，只是那時候還不成熟，并且在這之后的很久都不成熟，直到1996年5月發展正式標準版本HTTP/1.0，1997年1月公布HTTP/1.1是目前主流的HTTP協議版本，

 網路基礎TCP/IP

1.     TCP/IP協議族，包括IEEE 802.3 、ICMP 、IP、PPPoE、DNS、UDP、SNMP、FTP、HTTP、FDDI、TCP等協議，

2.     TCP/IP協議族的按層次分4層：應用層（FTP、DNS、HTTP）、傳輸層（TCP、UDP）、網路層（IP）和資料鏈路層（NIC(Network Interface Card)網卡，光纖等物理設備），

3.     TCP/IP協議族各層的作用:

l  應用層決定了向用戶提供應用服務時通信的活動，

l  傳輸層對上層應用層，提供處于網路連接中的兩臺計算機之間的資料傳輸，

l  網路層（又名網路互連層）用來處理在網路上流動的資料包，

l  鏈路層（又名資料鏈路層，網路介面層）用來處理連接網路的硬體部分，

4.     TCP/IP通信傳輸流

如圖所示，利用TCP/IP協議族進行網路通信時，會通過分層順序與對方進行通信，發送端從應用層往下走，接收端則往應用層往上走，

5.     與HTTP關系密切的協議：IP、TCP和DNS

①負責傳輸的IP協議

a.       IP協議的作用是把各種資料包傳送給對方，

b.       使用ARP協議憑借MAC地址進行通信

② TCP協議采用了三次握手（three-way handshaking）策略（三次握手四次揮手）

③負責域名決議的DNS服務

6.     URl（Uniform Resource Identifier，統一資源識別符號）和URLUniform Resource Locator，統一資源定位符）

 URL格式：

7.     專業詞全稱：TCP（Transmission Control Protocol，傳輸控制協議）和UDP（User Data Protocol，用戶資料報協議）

第2章    簡單HTTP協議

本章針對HTTP協議結構講解，主要使用HTTP1.1，理解HTTP協議的基礎了，

HTTP協議用于客戶端和服務器端之間的通信

1.     客戶端發送request請求，服務端回應respons；

a.       請求訪問文本或影像等資源的一端稱為客戶端，而提供資源回應的一端稱為服務器端，

b.       HTTP通信程序包括從客戶端發往服務器端的請求（Request）及從服務器端回傳客戶端的回應（Response），

2.     請求報文構成和回應報文構成

3.     HTTP是不保存狀態的協議，Cookie技術通過在請求和回應報文中寫入Cookie資訊來控制客戶端的狀態，

4.     HTTP的客戶端請求方法，包括：GET、POST、PUT、HEAD、DELETE和不常用的OPTIONS、TRACE、CONNECT

5.     持久連接指的是，為了解決TCP的三次握手和四次揮手耗時問題，即在第一次建立好連接后，在沒有斷開引數的情況下，HTTP請求仍在第一次創建的連接里面發送訊息；

第3章    HTTP報文內的HTTP資訊

本章主要了解一下請求和回應是怎么運作的以及HTTP報文是什么樣的，

1.     HTTP報文：用于HTTP協議互動的資訊，請求端（客戶端）的HTTP報文叫做請求報文，回應端（服務器）的叫做回應報應，

2.     請求報文和回應報文的結構以及實體：

3.     HTTP報文的主體用于傳輸請求或回應的物體主體，

4.     編碼提升傳輸速率；

除此之外，還可以把資料包分為多個部分傳輸，在報文首部中加以區分，以及不同瀏覽器，相應不同的回傳報文；

第4章    回傳結果的HTTP狀態碼

1.      HTTP狀態碼負責表示客戶端HTTP請求的回傳結果、標記服務器端的處理是否正常、通知出現的錯誤等作業，

2.     2XX成功

l  200 OK（請求正常處理）

l  204 No Content（請求處理成功，沒有資源可回傳）

l  206 Partial Content（范圍請求）

3.     3XX重定向

l  301 Moved Permanently（永久性重定向）

l  302 Found（臨時性重定向）

l  303 See Other

l  304 Not Modified

l  307 Temporary Redirect（臨時重定向）

4.     4XX客戶端錯誤

l  400 Bad Request（請求報文中存在語法錯誤）

l  401 Unauthorized（發送的請求需要有通過HTTP認證）

l  403 Forbidden（請求資源的訪問被服務器拒絕）

l  404 Not Found（服務器上無法找到請求的資源）

5.     5XX服務器錯誤

l  500 Internal Server Error（服務器端在執行請求時發生了錯誤）

l  503 Service Unavailable（服務器暫時處于超負載或正在進行停機維護，現在無法處理請求，）

第5章    與HTTP協作的Web服務器

1.     一臺Web服務器可搭建多個獨立域名的Web網站，也可作為通信路徑上的中轉服務器提升傳輸效率，

2.     HTTP通信時，除客戶端和服務器以外，還有一些用于通信資料轉發的應用程式，例如代理、網關和隧道，

第6章    HTTP首部

在第三章簡單介紹了HTTP的報文資訊，也簡單介紹HTTP首部，本章詳細講解HTTP首部的結構，以及首部中各欄位的用法，

這章可以當做手冊使用，當遇到需要時具體查詢，

第7章    確保Web安全的HTTPS

HTTP為什么不安全

通過前面幾章學習，知道了HTTP的優勢，第七章說說HTTP的缺點以及如何解決這些缺點，

1.     通信使用明文（不加密），內容可能會被竊聽；

2.     不驗證通信方的身份，因此有可能遭遇偽裝；

3.     無法證明報文的完整性，所以有可能已遭篡改；

HTTPS是什么

  HTTP+加密+認證+完整性保護=HTTPS

HTTPS如何保證安全

1.     服務端在數字證書認證機構把自己的公鑰通過認證機構的私鑰加密獲得服務器自己的公鑰證書；

2.     客戶端拿到第1步服務器的公鑰證書后，使用認證機構提供的公鑰，向認證機構驗證公鑰證書上的數字簽名，以確認服務器的公開密鑰的真實性；

3.     客戶端使用服務端的公開密鑰對報文加密發送；

4.     服務端用私有密鑰對報文解密；

第8章    確認訪問用戶身份的認證

Web頁面只想特定的人瀏覽，需要加入權限認證功能，本章講解HTTP使用4種的認證方式，

BASIC認證（基本認證）

1.     客戶端請求；

2.     服務端回傳401狀態碼；

3.     客戶端用Base64編碼發送用戶ID和密碼；

4.     服務端認證成功回傳200；

DIGEST認證（摘要認證）

1.    客戶端發送請求

2.    服務端回傳401+質詢碼（通常為亂數，實際依賴服務端實作）

3.    客戶端在請求首部Authorization資訊中加入用戶名密碼等資訊，以及通過質詢碼計算出的回應碼（計算方法比較復雜，具體詳見RFC2617）

4.    服務端認證成功回傳200；

SSL客戶端認證

結合第七章HTTPS的安全性來講，SSL需要購買證書，
SSL的認證是保證通訊程序的安全，防止通過form表單提交的密碼等資訊被監聽，

FormBase認證（基于表單認證）

這是我們最常用的，就是用戶名密碼登錄認證；

1.     客戶端發送用戶名密碼；

2.     服務端驗證通過，在服務端保存的sessionID，用于表示是哪個客戶端，并將sessionID發送給客戶端；

3.     客戶端收到sessionID保存到cookie中，下次請求直接發送cookie中的sessionID，而不用在輸入密碼了，（如果別人知道你的sessionID，也就可以通過該sessionID獲取你的資訊了，所以，sessionID大多都有過期時間），

第9章    基于HTTP的功能追加協議

HTTP協議自HTTP/1.1之后，這么多年一直都在用1.1版本，第九章主要講在HTTP協議基礎之上的改進，

SPDY

Google在2010年發布了SPDY，解決HTTP的性能瓶頸，縮短Web頁面的加載時間（50%），

HTTP的瓶頸在于每次請求，頁面都要整體重繪一遍，有時僅僅在于只改動一點點，基于此，有了Ajax技術，

Ajax（Asynchronous JavaScript and XML，異步JS和XML），本質值客戶端區域請求服務端，從而區域重繪頁面，提高使用體驗，
Comet，與Ajax相反，Comet是服務端向客戶端發送變化的資料，
SPDY是在會話層的網路協議，HTTP是在應用層，具體對協議做了一些改動從而提高性能，

使用瀏覽器進行全雙工通信的WebSocket

WebSocket主要能夠實作Web瀏覽器和Web服務器之間的全雙通通信，支持推送功能，減少通信量，

HTTP/2.0

HTTP/2.0的目標改善用戶在使用Web時的速度體驗，
在HTTP/1.1的基礎上，新添加或修改了一些網路協議，

第10章  構建Web內容的技術

HTML,CSS,JavaScript渲染頁面，Java Servlet或者PHP做Web后臺應用，

第11章  Web的攻擊技術

本章簡單介紹了攻擊Web服務器的技術手段，以及攻擊造成的影響，

1.    1.  攻擊服務器，通過SQL注入，或者OS命令注入，獲取服務器資料，

2.    2.  攻擊客戶端，給用戶發送誘導陷阱的郵件或者網頁，從而獲取用戶的cookie（結合第八章，基于表單的驗證，就知道cookie被別人知道有多可怕），

具體的攻擊方法詳細說明查看書，

標籤：其他

上一篇：資訊的表示和處理（整數部分）

下一篇：ARTS第十一周