HTTP和HTTPS基本概念，主要区别，应用场景

HTTP和 HTTPS是用于在网络中传输数据的协议，虽然它们的功能类似，但在安全性上存在显著差异。

1. HTTP 的基本概念

• 定义：HTTP 是一种无状态的、面向请求-响应的协议，用于客户端（如浏览器）和服务器之间传输超文本数据（HTML、CSS、JavaScript等）。
• 工作原理：客户端向服务器发送请求，服务器处理后返回相应的资源。
• 端口号：HTTP 默认使用 80 端口。
• 不安全性：HTTP 的数据传输是明文的，任何中间节点（如路由器）都能截取和篡改数据。这种不安全性使得HTTP不适合传输敏感信息。

2. HTTPS 的基本概念

• 定义：HTTPS 是在 HTTP 基础上加入了 SSL/TLS 加密层，确保数据传输的安全性。
• 工作原理：HTTPS 通过 SSL/TLS 协议进行加密，保证客户端和服务器之间的通信被加密并认证。数据在传输过程中即使被截获，也无法解读。
• 端口号：HTTPS 默认使用 443 端口。
• 安全性：
  • 加密：所有数据在传输过程中被加密，防止被第三方窃听。
  • 数据完整性：通过消息摘要和签名技术，确保数据在传输过程中未被篡改。
  • 身份认证：通过数字证书（由可信的CA机构颁发），客户端可以验证服务器的真实性，防止“中间人攻击”。

3. 主要区别

• 加密机制：HTTP 是明文传输，HTTPS 通过 SSL/TLS 加密数据，保障数据安全。
• 端口：HTTP 使用端口 80，HTTPS 使用端口 443。
• 安全性：HTTP 不提供任何数据加密或安全性，适合传输非敏感信息；HTTPS 通过加密和身份认证，确保数据的机密性和完整性。
• 性能：HTTPS 因为需要建立加密连接（握手过程），性能稍逊于 HTTP，但随着硬件和算法的优化，性能差距越来越小。

4. SSL/TLS 握手过程（HTTPS的核心）

• 客户端请求：客户端向服务器发送 HTTPS 请求，服务器返回其数字证书。
• 服务器证书验证：客户端验证证书是否由可信的证书颁发机构（CA）签署，且证书是否仍然有效。
• 密钥交换：客户端和服务器协商使用对称密钥进行加密，客户端生成一个对称密钥并通过服务器的公钥加密后发送给服务器。
• 建立加密通道：服务器使用私钥解密后，双方就可以使用对称密钥进行加密通信。

5. 应用场景

• HTTP：适合用于不涉及敏感数据的公共信息传输，如新闻、博客等。
• HTTPS：适用于所有需要安全传输的场景，如电商支付、个人信息传输、登录验证等。

6. HTTPS的优势

• 防止窃听：第三方无法窃取传输中的敏感信息。
• 防止篡改：数据在传输过程中无法被中间人篡改。
• 身份认证：确保客户端访问的是合法的服务器，防止钓鱼网站或中间人攻击。

7. 迁移到 HTTPS 的原因

• 安全性要求：随着网络安全意识的提高，越来越多的网站逐渐迁移到 HTTPS 以保护用户隐私。
• 搜索引擎优化（SEO）：搜索引擎如 Google 优先展示使用 HTTPS 的网站，HTTPS 站点的搜索排名更高。
• 浏览器标识：大多数现代浏览器会对不使用 HTTPS 的网站进行标记，提示用户该站点不安全。

8. SSL证书类型

• 域名验证 (DV)：仅验证域名的所有权。
• 组织验证 (OV)：验证域名和组织的身份信息。
• 扩展验证 (EV)：提供最高级别的验证，浏览器地址栏显示绿色锁标志和公司名称。