HTTP与HTTPS要点详解2

  • HTTP三点注意事项:
    a. HTTP是无连接:限制每次连接只处理一个请求。服务器处理完客户的请求,并收到客户的应答后,即断开连接。采用这种方式可以节省传输时间。
    b. HTTP是媒体独立的:只要客户端和服务器知道如何处理的数据内容,任何类型的数据都可以通过HTTP发送。客户端以及服务器指定使用适合的MIME-type内容类型。
    c.HTTP是无状态:协议对于事务处理没有记忆能力。
  • HTTP服务端 WEB服务器 万维网(WWW:World Wide Web )服务器
  • Web服务器有:Apache服务器,IIS服务器(Internet Information Services),Nginx服务器等。
  • URL,全称是UniformResourceLocator, 中文叫统一资源定位符,是互联网上用来标识某一处资源的地址。以下面这个URL为例,介绍下普通URL的各部分组成:

    网站设计制作、成都做网站,成都做网站公司-创新互联公司已向上1000家企业提供了,网站设计,网站制作,网络营销等服务!设计与技术结合,多年网站推广经验,合理的价格为您打造企业品质网站。

    http://www.example.com:8080/hello/world?boardID=5&ID=24618&page=1#name
    一个完整的URL包括以下几部分:
    1.协议部分:该URL的协议部分为“http:”,这代表网页使用的是HTTP协议。在Internet中可以使用多种协议,如HTTP,FTP等等本例中使用的是HTTP协议。在"HTTP"后面的“//”为分隔符
    
    2.域名部分:该URL的域名部分为“www.example.com”。一个URL中,也可以使用IP地址作为域名使用
    
    3.端口部分:跟在域名后面的是端口,域名和端口之间使用“:”作为分隔符。端口不是一个URL必须的部分,如果省略端口部分,将采用默认端口,http默认80, https默认443
    
    4.虚拟目录部分:从域名后的第一个“/”开始到最后一个“/”为止,是虚拟目录部分。虚拟目录也不是一个URL必须的部分。本例中的虚拟目录是“/hello/”
    
    5.文件名部分:从域名后的最后一个“/”开始到“?”为止,是文件名部分,如果没有“?”,则是从域名后的最后一个“/”开始到“#”为止,是文件部分,如果没有“?”和“#”,那么从域名后的最后一个“/”开始到结束,都是文件名部分。本例中的文件名是“world"。文件名部分也不是一个URL必须的部分,如果省略该部分,则使用默认的文件名
    
    6.锚部分:从“#”开始到最后,都是锚部分。本例中的锚部分是“name”。锚部分也不是一个URL必须的部分
    
    7.参数部分:从“?”开始到“#”为止之间的部分为参数部分,又称搜索部分、查询部分。本例中的参数部分为“boardID=5&ID=24618&page=1”。参数可以允许有多个参数,参数与参数之间用“&”作为分隔符。
  • 客户端发送一个HTTP请求到服务器的请求消息包括以下格式:
    请求行(request line)、请求头部(header)、空行和请求数据四个部分组成。
    下图给出了请求报文的一般格式。
    HTTP与HTTPS要点详解2

  • HTTP响应也由四个部分组成,分别是:状态行、消息报头、空行和响应正文。

HTTP与HTTPS要点详解2

  • 实例-----使用GET来传递数据
    客户端请求:
    GET /hello.txt HTTP/1.1
    User-Agent: curl/7.16.3 libcurl/7.16.3 OpenSSL/0.9.7l zlib/1.2.3
    Host: www.example.com
    Accept-Language: en, mi
    服务端响应:
    HTTP/1.1 200 OK
    Date: Mon, 27 Jul 2009 12:28:53 GMT
    Server: Apache
    Last-Modified: Wed, 22 Jul 2009 19:15:56 GMT
    ETag: "34aa387-d-1568eb00"
    Accept-Ranges: bytes
    Content-Length: 51
    Vary: Accept-Encoding
    Content-Type: text/plain
    输出结果:
    Hello World! My payload includes a trailing CRLF.

  • HTTP请求方法
    GET 请求指定的页面信息,并返回实体主体。
    HEAD 类似于get请求,只不过返回的响应中没有具体的内容,用于获取报头
    POST 向指定资源提交数据进行处理请求(例如提交表单或者上传文件)。数据被包含在请求体中。POST请求可能会导致新的资源的建立和/或已有资源的修改。
    PUT 从客户端向服务器传送的数据取代指定的文档的内容。
    DELETE 请求服务器删除指定的页面。
    CONNECT HTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器。
    OPTIONS 允许客户端查看服务器的性能。
    TRACE 回显服务器收到的请求,主要用于测试或诊断。

  • HTTP 响应头信息
    Allow 服务器支持哪些请求方法(如GET、POST等)。
    Content-Encoding 文档的编码(Encode)方法。只有在解码之后才可以得到Content-Type头指定的内容类型。利用gzip压缩文档能够显著地减少HTML文档的下载时间。Servlet应该通过查看Accept-Encoding头(即request.getHeader("Accept-Encoding"))检查浏览器是否支持gzip,为支持gzip的浏览器返回经gzip压缩的HTML页面,为其他浏览器返回普通页面。
    Content-Length 表示内容长度
    Content-Type 表示后面的文档属于什么MIME类型。
    Date 当前的GMT时间(零时区时间)
    Expires 应该在什么时候认为文档已经过期,从而不再缓存它
    Last-Modified 文档的最后改动时间。客户可以通过If-Modified-Since请求头提供一个日期,该请求将被视为一个条件GET,只有改动时间迟于指定时间的文档才会返回,否则返回一个304(Not Modified)状态。
    Location 表示客户应当到哪里去提取文档。Location通常不是直接设置的,而是通过HttpServletResponse的sendRedirect方法,该方法同时设置状态代码为302。
    Server 服务器名字。Servlet一般不设置这个值,而是由Web服务器自己设置。
    Set-Cookie 设置和页面关联的Cookie。
    WWW-Authenticate 客户应该在Authorization头中提供什么类型的授权信息
    Host 头域指定请求资源的Intenet主机和端口号,必须表示请求url的原始服务器或网关的位置
    Referer 主要用来让服务器判断来源页面, 即用户是从哪个页面来的
    用来统计用户来源,是从搜索页面来的,还是从其他网站链接过来,或是从书签等访问,以便网站合理定位.
    用作防盗链, 即下载时判断来源地址是不是在网站域名之内, 否则就不能下载或显示.
    对于某些恶意用户,也可能伪造Referer来获得某些权限,在设计网站时要考虑到这个问题.
    还可用做电子商务网站的安全,在提交信用卡等重要信息的页面用referer来判断上一页是不是自己的网站,如果不是,可能是***用自己写的一个表单,来提交,为了能跳过你上一页里的javascript的验证等目的。
    但是注意不要把Rerferer用在身份验证或者其他非常重要的检查上,因为Rerferer非常容易在客户端被改变。
    User-Agent 头域的内容包含发出请求的用户信息。
    Cache-Control 指定请求和响应遵循的缓存机制。
    connection 是表示当client和server通信时对于长链接如何进行处理。
    在http1.1中,client和server都是默认对方支持长链接的, 如果client使用http1.1协议,但又不希望使用长链接,则需要在header中指明connection的值为close;
    如果server方也不想支持长链接,则在response中也需要明确说明connection的值为close。不论request还是response的header中包含了值为close的connection,都表明当前正在使用的tcp链接在当天请求处理完毕后会被断掉。以后client再进行新的请求时就必须创建新的tcp链接了。

  • 常见的HTTP状态码:
    200 - 请求成功
    301 - 资源(网页等)被永久转移到其它URL
    400 - Bad Request //客户端请求有语法错误,不能被服务器所理解
    401 - Unauthorized //请求未经授权,这个状态代码必须和WWW-Authenticate报头域一起使用
    403 - Forbidden //服务器收到请求,但是拒绝提供服务
    404 - 请求的资源(网页等)不存在
    500 - Internal Server Error //服务器发生不可预期的错误
    503 - Server Unavailable //服务器当前不能处理客户端的请求,一段时间后可能恢复正常

    HTTP状态码由三个十进制数字组成,第一个十进制数字定义了状态码的类型,后两个数字没有分类的作用。 HTTP状态码共分为5种类型:
    1 信息,服务器收到请求,需要请求者继续执行操作
    2
    成功,操作被成功接收并处理
    3 重定向,需要进一步的操作以完成请求
    4
    客户端错误,请求包含语法错误或无法完成请求
    5** 服务器错误,服务器在处理请求的过程中发生了错误

    更多状态码http://www.runoob.com/http/http-status-codes.html

  • GET提交的数据会放在URL之后,以?分割URL和传输数据,参数之间以&相连如果数据是英文字母/数字,原样发送,如果是空格,转换为+,如果是中文/其他字符,则直接把字符串用BASE64加密
  • POST方法是把提交的数据放在HTTP包的Body中.*
  • POST的安全性要比GET的安全性高。比如:通过GET提交数据,用户名和密码将明文出现在URL上,因为登录页面有可能被浏览器缓存;其他人查看浏览器的历史纪录,那么别人就可以拿到你的账号和密码了,除此之外,使用GET提交数据还可能会造成Cross-site request forgery***
  • GET提交的数据大小有限制(因为浏览器对URL的长度有限制),而POST方法提交的数据没有限制.

网站名称:HTTP与HTTPS要点详解2
文章路径:http://myzitong.com/article/jcsgcg.html