《图集HTTP》笔记

2017-08-03 本文已影响0人 jacktown

第一章了解Web及网络基础

第二章简单的HTTP协议

2.1 HTTP协议用于客户端和服务器端之间的通信

客户端：发出访问请求的一端
服务器端：响应资源请求的一端

2.2 通过请求和响应达成通信

请求报文：请求方法、请求URI、协议版本、首部字段（可选）、内容实体（可选）

//请求报文示例
POST  /form/entry  HTTP/1.1

Host: hackr.jp
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 16

name=ueno&age=37

响应报文：协议版本、状态码、状态解释文本、首部字段（可选）、实体主体（可选）

//响应报文实例
HTTP/1.1  200  OK

Date: Tue, 10 Jul 2012 06:50:15 GMT
Content-Length: 362
Content-Type: text-html

<html>
...

2.3 HTTP是不保存状态的协议

协议本身不保存一切之前的请求或响应的信息

2.4 请求URI定位资源

URI需要将请求报文中的请求URI包含在内

2.5 告知服务器意图的HTTP方法

GET：获取资源
POST：传输实体主体（主要目的不是获取响应的主体内容）
PUT、HEAD、DELETE、OPTIONS、TRACE、CONNECT

2.6 使用方法下达命令

2.7 持久连接节省通信量

HTTP协议初始版本：每进行一次HTTP通信就要断开一次TCP连接
持久连接：只要任意一端没有提出断开连接，则保持TCP连接状态
管线化：接收到响应前就可以继续发送其他请求

2.8 使用cookie的状态管理

响应报文：包含一个叫Set-Cookie的首部字段信息
请求报文：自动加入Cookie值
服务器端：对比根据请求中的Cookie，检查来源客户端，对比记录，得到之前的状态信息

第三章 HTTP报文内的HTTP信息

3.1 HTTP报文

包括请求报文和响应报文，报文分为报文首部和报文主体（可选）

报文首部
（空行[CR+LF]）
报文主体

3.2 请求报文及响应报文的结构

报文首部结构：
- 请求行/状态行
- 请求首部字段/响应首部字段
- 通用首部字段
- 实体首部字段
- 其他
各部分解释：
- 请求行：包含请求方法、请求URI、HTTP版本
- 状态行：状态码、原因短语、HTTP版本
- 首部字段：表示各种条件与属性的各类首部
- 其他：可能包含HTTP的RFC中未定义首部

3.3 编码提升传输速率

报文主体通常等于实体主体，只是传输编码是实体主体内容会变化，使他们有差异
内容在服务器端编码后传输，可提高传输速率，完成传输后由客户端解码
分块传输编码能让实体主体分块，客户端可以逐步显示页面

3.4 发送多种数据的多部分对象集合

3.5 获取部分内容的范围请求

只请求指定的实体范围内的资源

3.6 内容协商返回最合适的内容

客户端或服务器端请求首部字段中的语言、字符集、编码方式来使响应结果是合适的内容
类型：服务器驱动协商、客户端驱动协商、透明协商

第四章返回结果的HTTP状态码

4.1 状态码告知从服务器端返回的请求结果

1XX：信息性状态码
2XX：成功状态码
3XX：重定向状态码
4XX：客户端错误状态码
5XX：服务器端错误状态码

4.2 2XX成功

200 OK：请求已正常处理
204 No Content：请求处理成功，但没有资源可（需要）返回
206 Partial Content：成功执行了范围请求

4.3 3XX重定向

301、302、303浏览器都会采用GET方法对新URI发出请求，虽然301、302更改POST方法为GET是不符标准的。

301 Moved Permanently：永久性重定向
302 Found：临时性重定向
303 See Other：URI已更新，应使用GET定向获取
304 Not Modified：找到资源但不符合条件请求
307 Temporary Redirect：临时重定向

4.4 4XX客户端错误

400 Bad Request：请求报文有语法错误
401 Unauthorized：页面须认证/认证失败
403 Forbidden：访问请求被拒绝
404 Not Found：服务器上没有请求的资源

4.5 5XX服务器错误

500 Internal Server Error：服务器端执行请求时出错
503 Service Unavailable：服务器暂时不能处理请求

第五章与HTTP协作的Web服务器

5.1 用单台虚拟主机实现多个域名

5.2 通信数据转发程序：代理、网管、隧道

工作于客户端和服务器之间

代理：转发请求或响应，过程中添加via头部；可按是否使用缓存（缓存代理）和是否会修改报文（透明代理、非透明代理）进行分类
网关：可以转换通信协议/利用网关提高安全性
隧道：用于加密传输，提高安全性，本身透明

5.3 保存资源的缓存

缓存代理和客户端都可缓存资源，以减少请求
需要确认缓存有效期限，过期后需要更新

第六章 HTTP首部

6.1 HTTP报文首部

HTTP请求报文首部：方法、URI、HTTP版本、HTTP首部字段等
HTTP响应报文首部：HTTP版本、状态码、原因短语、HTTP首部字段等

6.2 HTTP首部字段

HTTP首部字段传递重要信息
HTTP首部字段结构：首部字段名：字段值
4中HTTP首部字段类型：
- 通用首部字段（General Header Fields）
- 请求首部字段（Request Header Fields）
- 响应首部字段（Response Header Fields）
- 实体首部字段（Entity Header Fields）
HTTP/1.1首部字段一览
非HTTP/1.1首部字段：如Cookie、Set-Cookie、Content-Disposition
End-to-end首部和Hop-by-hop首部：代理对其处理方式不同

6.3 HTTP/1.1通用首部字段

请求和响应报文双方都会使用的首部

Cache-Control：控制缓存的操作机制
- Cache-Control指令一览
- 表示是否能缓存的指令
  - pulic指令
  - private指令
  - no-cacahe指令
- 控制可执行缓存的对象的指令
  - no-store指令
- 指定缓存期限和认证的指令
  - s-maxage指令
  - max-age指令
  - min-fresh指令
  - max-stale指令
  - only-if-cached指令
  - must-revalidate指令
  - proxy-revalidate指令
  - no-transform指令
- Cache-Control扩展
  - Cache-extension token
Connection
- 控制不再转发给代理的首部字段
- 管理持久连接
Date：报文创建日期和时间
Pragma：向后兼容HTTP1.0的字段
Trailer：报文主体后的首部字段
Transfer-Encoding: 传输报文主体的编码方式
Upgrade：是否可采用更高的传输协议版本
Via：追踪客户端与服务器之间的请求与响应报文传输路径
Warning：通常告知用户一些与缓存相关的问题的警告

6.4 请求首部字段

Accept：指定用户代理可处理的媒体类型及媒体类型的相对优先级
Accept-Charset：用户代理支持的字符集及其相对优先顺序
Accept-Encoding：用户代理支持的内容编码及优先级
Accept-Language：用户代理可处理的自然语言集及其优先级
Authorization：用户代理认证信息
Expect：客户端希望服务器出现的某特定行为
From：用户代理的电子邮件地址
Host：请求资源所处的互联网主机名和端口号，该字段在请求首部字段中必须存在
If-Match：If-xxx字段表示条件请求。该字段表示资源的实体标记(ETag)值，匹配时服务器才返回。
If-Modified-Since：是指定事件后更新过的资源
If-None-Match：字段值与服务器资源的ETag值不一致是才处理请求
If-Range：比对其值和资源的ETag或时间是否一致，以确定作为范围请求处理还是返回全体资源
If-Unmodified-Since：只在指定事件后无更新才处理请求
Max-Forwards：每经过一个服务器，该值减1，为0时，服务其返回响应
Proxy-Authorization：客户端在接受到代理服务器的认证质询时，发送的包含认证信息的字段
Range：范围请求的资源范围
Referer：请求的原始页面位置URI
TE：告知服务器客户端可处理的传输编码方式及其优先级
User-Agent：创建请求的浏览器和用户代理名称等信息

6.5 响应首部字段

Accept-Ranges：能否处理范围请求
Age：源服务器在多久前创建了响应
ETag：告知客户端实体标识
Location：引导响应接收方至某个与请求URI位置不同的资源
Proxy-Authenticate：将代理服务器需求的认证信息发送给客户端
Retry-After：告知客户端多久后再发送请求
Server：当前服务器HTTP服务器应用程序信息
Vary: 控制代理服务器本地缓存使用方法
WWW-Authenticate：告知客户端访问资源所需认证方案

6.6 实体首部字段

Allow：通知客户端受支持的请求URI资源的HTTP方法
Content-Encoding：告知客户端服务器对实体主体部分使用的内容编码方式
Content-Language：告知客户端实体主体的自然语言
Content-Length：实体主体部分的大小
Content-Location：报文主体部分对于的URI
Content-MD5：用于检验传输完整性的MD5值
Content-Range：当前返回实体对应哪个部分的范围请求
Content-Type：实体主体的媒体理想
Expires：资源失效时间；缓存服务器使用缓存的一个依据
Last-Modified：资源最终修改时间

6.7 为Cookie服务的首部字段

Set-Cookie：服务器开始管理客户端状态提供的各种信息
- expires：浏览器可发送Cookie的有效期
- path：限制指定Cookie的发送范围的文件目录
- domain：可发送Cookie的域名结尾
- secure：限制只在HTTPS安全链接下发送Cookie
- HttpOnly：无法使用Javascript脚本获取Cookie
Cookie：告知服务器客户端希望获得HTTP状态管理支持并在请求中包含从服务器接受到的Cookie

6.8 其他首部字段

X-Frame-Options
X-XSS-Protection
DNT
P3P

第七章确保Web安全的HTTPS

7.1 HTTP的缺点

被窃听、伪装、篡改等

通信使用明文可能会被窃听
- TCP/IP是可能被窃听的网络
- 机密处理防止被窃听（通信的加密、内容的加密）
不验证通信方的身份就可能遭遇伪装
- 任何人都可发起请求
- 查明对手的证书
无法证明报文完整性，可能已篡改
- 接受到的内容可能有误
- 如何防止篡改

7.2 HTTP+加密+认证+完整性保护=HTTPS

HTTP加上加密处理和认证以及完整性保护后即是HTTPS
HTTPS是身披SSL外壳的HTTP
相互交换密钥的公开密钥加密技术
- 共享密钥加密的困境
- 使用两把密钥的公开密钥加密
- HTTPS使用混合加密机制
证明公开密钥正确性的证书
- 可证明组织真实性的EV SSL证书
- 用于确认客户端的客户端证书
- 认证机构信誉第一
- 由自认证机构颁发的证书称为自签名证书
HTTPS的安全通信机制
- SSL和TLS
- SSL速度更慢