浅谈Http和Https的区别
每日一言：一只站在树上的鸟儿，从不会害怕树枝断裂，因为它相信的不是树枝，而是自己的翅膀。人也一样，与其每天忧心未来，不如努力做好现在。靠自己的力量解决好一件件事，你心里升起的底气，足够支撑你面对生活的以切。
HTTP协议（明文传输，明文网络）
Http和Https是超文本传输协议，在OSI七层模型中，Http协议位于最顶层的应用层中，通过浏览器访问网页就是直接使用了Http协议。使用Http协议时，客户端首先与服务端的80端口建立一个TCP连接，然后在这个连接的基础上进行请求和应答，以及数据的交换。
Http有俩个常用的版本1.0和1.1，其中主要区别在于Http1.0版本每次请求都会建立一个新的TCP连接，而从Http1.1开始，运行在一个TCP连接上完成多个请求和应答，因此减少了TCP的连接和断开，提高了效率。
Android P 限制了明文流量的网络请求，非加密的流量请求都会被系统禁止掉。 如果当前应用的请求是 htttp 请求，而非 https ,这样就会导系统禁止当前应用进行该请求，如果 WebView 的 url 用 http 协议，同样会出现加载失败，https 不受影响。
HTTPS
我们知道 HTTP 协议直接使用了 TCP 协议进行数据传输。由于数据没有加密，都是直接明文传输，所以存在以下三个风险：
窃听风险：第三方节点可以获知通信内容。
篡改风险：第三方节点可以修改通信内容。
冒充风险：第三方节点可以冒充他人身份参与通信。
比如你在手机上打开应用内的网页时，有时会看到网页底部弹出了广告，这实际上就说明你的 HTTP 内容被窃听、并篡改了。
HTTPS 协议旨在解决以上三个风险，因此它可以：
保证所有信息加密传输，无法被第三方窃取。
为信息添加校验机制，如果被第三方恶意破坏，可以检测出来。
配备身份证书，防止第三方伪装参与通信。
Android致力于保护用户们的设备和数据安全。我们保证数据安全的方法之一是保护所有进入或离开Android设备的数据在传输中使用传输层安全性（TLS）。正如我们在Android P开发人员预览中所宣布的那样，我们通过阻止针对Android P的应用程序默认允许未加密的连接来进一步改进这些保护。这是我们多年来为更好地保护Android用户而做出的各种更改。为了防止意外的未加密连接，我们android:usesCleartextTraffic在Android Marshmallow中引入了manifest属性。在Android Nougat中，我们通过创建Network Security Config功能扩展了该属性，该功能允许应用程序指示他们不打算在没有加密的情况下发送网络流量。在Android Nougat和Oreo中，我们仍然允许明文连接。
HTTP 和 HTTPS 的相同点:
大多数情况下，HTTP 和 HTTPS 是相同的，因为都是采用同一个基础的协议，作为 HTTP 或 HTTPS 客户端——浏览器，设立一个连接到 Web 服务器指定的端口。当服务器接收到请求，它会返回一个状态码以及消息，这个回应可能是请求信息、或者指示某个错误发送的错误信息。系统使用统一资源定位器 URI 模式，因此资源可以被唯一指定。而 HTTPS 和 HTTP 唯一不同的只是一个协议头(https)的说明，其他都是一样的。
HTTP 和 HTTPS 的不同之处:
1. HTTP 的 URL 以 http:// 开头，而 HTTPS 的 URL 以 https:// 开头
2. HTTP 是不安全的 信息是明文传输，而 HTTPS 是安全的 具有安全性的ssl加密传输
3. HTTP 标准端口是 80 ，而 HTTPS 的标准端口是 443
4. 在 OSI 网络模型中，HTTP 工作于应用层，而 HTTPS 工作在传输层
5. HTTP 无需加密，而 HTTPS 对传输的数据进行加密
6. HTTP 无需证书，而 HTTPS 需要认证证书
http的连接很简单,是无状态的
HTTPS 如何工作?
使用 HTTPS 连接时，服务器要求有公钥和签名的证书。
当使用 https 连接，服务器响应初始连接，并提供它所支持的加密方法。作为回应，客户端选择一个连接方法，并且客户端和服务器端交换证书验证彼此身份。完成之后，在确保使用相同密钥的情况下传输加密信息，然后关闭连接。为了提供 https 连接支持，服务器必须有一个公钥证书，该证书包含经过证书机构认证的密钥信息，大部分证书都是通过第三方机构授权的，以保证证书是安全的。
换句话说，HTTPS 跟 HTTP 一样，只不过增加了 SSL。
HTTPS 如何工作?
使用 HTTPS 连接时，服务器要求有公钥和签名的证书。
当使用 https 连接，服务器响应初始连接，并提供它所支持的加密方法。作为回应，客户端选择一个连接方法，并且客户端和服务器端交换证书验证彼此身份。完成之后，在确保使用相同密钥的情况下传输加密信息，然后关闭连接。为了提供 https 连接支持，服务器必须有一个公钥证书，该证书包含经过证书机构认证的密钥信息，大部分证书都是通过第三方机构授权的，以保证证书是安全的。
换句话说，HTTPS 跟 HTTP 一样，只不过增加了 SSL。
HTTPS解决的问题：
1 . 信任主机的问题. 采用https 的server 必须从CA 申请一个用于证明服务器用途类型的证书. 改证书只有用于对应的server 的时候,客户度才信任次主机. 所以目前所有的银行系统网站,关键部分应用都是https 的. 客户通过信任该证书,从而信任了该主机. 其实这样做效率很低,但是银行更侧重安全. 这一点对我们没有任何意义,我们的server ,采用的证书不管自己issue 还是从公众的地方issue, 客户端都是自己人,所以我们也就肯定信任该server.
2 . 通讯过程中的数据的泄密和被窜改，一般意义上的https, 就是 server 有一个证书，主要目的是保证server 就是他声称的server. 这个跟第一点一样，服务端和客户端之间的所有通讯,都是加密的，具体讲,是客户端产生一个对称的密钥,通过server 的证书来交换密钥. 一般意义上的握手过程，接下来所有的信息往来就都是加密的. 第三方即使截获,也没有任何意义.因为他没有密钥. 当然窜改也就没有什么意义了.
参考文章
