漲知識時(shí)間(jiān):https和(hé)http有(yǒu)什麽區(qū)别
什麽是 HTTPS?
HTTPS (基于安全套接字層的超文本傳輸協議 或者是 HTTP over SSL) 是一個(gè) Netscape 開(kāi)發的 Web 協議。
你(nǐ)也可(kě)以說：HTTPS = HTTP + SSL
HTTPS 在 HTTP 應用層的基礎上(shàng)使用安全套接字層作(zuò)為(wèi)子層。
為(wèi)什麽需要 HTTPS ？
超文本傳輸協議 (HTTP) 是一個(gè)用來(lái)通(tōng)過互聯網傳輸和(hé)接收信息的協議。HTTP 使用請(qǐng)求/響應的過程，因此信息可(kě)在服務器(qì)間(jiān)快速、輕松而且精确的進行(xíng)傳輸。當你(nǐ)訪問 Web 頁面的時(shí)候你(nǐ)就是在使用 HTTP 協議，但(dàn) HTTP 是不安全的，可(kě)以輕松對竊聽(tīng)你(nǐ)跟 Web 服務器(qì)之間(jiān)的數(shù)據傳輸。在很(hěn)多(duō)情況下，客戶和(hé)服務器(qì)之間(jiān)傳輸的是敏感歇息，需要防止未經授權的訪問。為(wèi)了滿足這個(gè)要求，網景公司(Netscape)推出了HTTPS，也就是基于安全套接字層的 HTTP 協議。
HTTP 和(hé) HTTPS 的相同點
大(dà)多(duō)數(shù)情況下，HTTP 和(hé) HTTPS 是相同的，因為(wèi)都是采用同一個(gè)基礎的協議，作(zuò)為(wèi) HTTP 或 HTTPS 客戶端——浏覽器(qì)，設立一個(gè)連接到 Web 服務器(qì)指定的端口。當服務器(qì)接收到請(qǐng)求，它會(huì)返回一個(gè)狀态碼以及消息，這個(gè)回應可(kě)能是請(qǐng)求信息、或者指示某個(gè)錯誤發送的錯誤信息。系統使用統一資源定位器(qì) URI 模式，因此資源可(kě)以被唯一指定。而 HTTPS 和(hé) HTTP 唯一不同的隻是一個(gè)協議頭(https)的說明(míng)，其他都是一樣的。
HTTP 和(hé) HTTPS 的不同之處
HTTP 的 URL 以 http:// 開(kāi)頭，而 HTTPS 的 URL 以 https:// 開(kāi)頭
HTTP 是不安全的，而 HTTPS 是安全的
HTTP 标準端口是 80 ，而 HTTPS 的标準端口是 443
在 OSI 網絡模型中，HTTP 工作(zuò)于應用層，而 HTTPS 工作(zuò)在傳輸層
HTTP 無需加密，而 HTTPS 對傳輸的數(shù)據進行(xíng)加密
HTTP 無需證書(shū)，而 HTTPS 需要認證證書(shū)
HTTPS 如何工作(zuò)?
使用 HTTPS 連接時(shí)，服務器(qì)要求有(yǒu)公鑰和(hé)簽名的證書(shū)。
當使用 https 連接，服務器(qì)響應初始連接，并提供它所支持的加密方法。作(zuò)為(wèi)回應，客戶端選擇一個(gè)連接方法，并且客戶端和(hé)服務器(qì)端交換證書(shū)驗證彼此身份。完成之後，在确保使用相同密鑰的情況下傳輸加密信息，然後關閉連接。為(wèi)了提供 https 連接支持，服務器(qì)必須有(yǒu)一個(gè)公鑰證書(shū)，該證書(shū)包含經過證書(shū)機構認證的密鑰信息，大(dà)部分證書(shū)都是通(tōng)過第三方機構授權的，以保證證書(shū)是安全的。
換句話(huà)說，HTTPS 跟 HTTP 一樣，隻不過增加了 SSL。
HTTP 包含如下動作(zuò)：
浏覽器(qì)打開(kāi)一個(gè) TCP 連接
浏覽器(qì)發送 HTTP 請(qǐng)求到服務器(qì)端
服務器(qì)發送 HTTP 回應信息到浏覽器(qì)
TCP 連接關閉
SSL 包含如下動作(zuò)：
驗證服務器(qì)端
允許客戶端和(hé)服務器(qì)端選擇加密算(suàn)法和(hé)密碼，确保雙方都支持
驗證客戶端(可(kě)選)
使用公鑰加密技(jì)術(shù)來(lái)生(shēng)成共享加密數(shù)據
創建一個(gè)加密的 SSL 連接
基于該 SSL 連接傳遞 HTTP 請(qǐng)求
什麽時(shí)候該使用 HTTPS?
銀行(xíng)網站(zhàn)、支付網關、購物網站(zhàn)、登錄頁、電(diàn)子郵件以及一些(xiē)企業部門(mén)的網站(zhàn)應該使用 HTTPS，例如：
PayPal: https://www.paypal.com
Google AdSense: https://www.google.com/adsense/
如果某個(gè)網站(zhàn)要求你(nǐ)填寫信用卡信息，首先你(nǐ)要檢查該網頁是否使用 https 加密連接，如果沒有(yǒu)，那(nà)麽請(qǐng)不要輸入任何敏感信息如信用卡号。
浏覽器(qì)集成
多(duō)數(shù)浏覽器(qì)在收到一個(gè)無效證書(shū)的時(shí)候都會(huì)顯示警告信息，而一些(xiē)老的浏覽器(qì)會(huì)彈出對話(huà)框讓用戶選擇是否繼續浏覽。新的浏覽器(qì)一般在整個(gè)窗口顯示橫幅的警告信息，同時(shí)在地址欄上(shàng)顯示該網站(zhàn)的安全信息。如果網站(zhàn)中包含加密和(hé)非加密的混合內(nèi)容，多(duō)數(shù)浏覽器(qì)會(huì)提示警告信息。
許多(duō)人(rén)以為(wèi)，出于安全考慮，浏覽器(qì)不會(huì)在本地保存HTTPS緩存。實際上(shàng)，隻要在HTTP頭中使用特定命令，HTTPS是可(kě)以緩存的。
微軟的IE項目經理(lǐ)Eric Lawrence寫道(dào)：
"說來(lái)也許令人(rén)震驚，隻要HTTP頭允許這樣做(zuò)，所有(yǒu)版本的IE都緩存HTTPS內(nèi)容。比如，如果頭命令是Cache-Control:max-age=600，那(nà)麽這個(gè)網頁就将被IE緩存10分鍾。IE的緩存策略，與是否使用HTTPS協議無關。（其他浏覽器(qì)在這方面的行(xíng)為(wèi)不一緻，取決于你(nǐ)使用的版本，所以這裏不加以討(tǎo)論。）"
