第 3 卷

需要我把这些HTTP知识点整理成面试速记版md文档，方便你直接背诵吗？

1. HTTP和HTTPS的主要区别是什么？

HTTP（超文本传输协议）和HTTPS（超文本传输安全协议）的核心差异在于安全性，HTTPS是HTTP 基于SSL/TLS协议的安全升级版，两者主要区别如下（面试必背核心点）：

仍基于TCP传输

法、验证证书等），连接建立耗时更长

证书要求无需证书，任何人可搭建需向CA机构申请合法证书， HTTP服务用于身份验证（否则浏览器会

提示“不安全”）

性能开销无加密/解密开销，性能消耗存在加密/解密、证书验证等低开销，性能消耗高于HTTP

（但HTTP/2+HTTPS可弥补部分差距）

适用场景非敏感数据传输（如公开资讯敏感数据传输（如登录、支展示）付、个人信息提交等，目前主

流网站均采用）

✅ 补充核心要点

1. HTTPS并非“全新协议”，而是“HTTP协议+SSL/TLS加密层”的组合，本质是在HTTP传输链路

外层包裹了一层安全防护；

1. HTTPS如何保证传输的安全性？

HTTPS通过“SSL/TLS加密层+身份验证+数据完整性校验”三重机制，从“防窃听、防篡改、防伪造”三个维度保证传输安全，核心实现逻辑围绕“对称加密+非对称加密”的混合加密方案展开，具体

流程和机制如下：

一、核心加密方案：对称加密+非对称加密（扬长避短）

单独使用对称加密或非对称加密均有缺陷，HTTPS结合两者优势：

• 非对称加密（用于“密钥协商”）：

• 特点：有公钥（公开）和私钥（服务端留存）一对密钥，公钥加密的数据仅私钥可解密，私钥加

密的数据仅公钥可解密，安全性高但加密效率低；

• 作用：仅用于传输“对称加密的密钥”（简称“会话密钥”），避免会话密钥在传输过程中被窃

听。

• 对称加密（用于“实际数据传输”）：

• 特点：只有一个密钥（会话密钥），加密和解密使用同一密钥，加密效率高但密钥传输风险大；
• 作用：HTTPS中大部分实际数据（如HTML、JSON、图片等）均通过会话密钥加密传输，保证传

输效率。

二、HTTPS保证安全的完整流程（核心三步）

1. 身份验证（防伪造）：通过CA证书确认服务端合法性

客户端（浏览器）与服务端建立连接时，服务端会主动向客户端发送“CA证书”，证书包含服务端公钥、域名、证书有效期、CA签名等信息。客户端会验证证书合法性：

• 验证证书是否过期；
• 验证证书中的域名是否与当前访问的域名一致；
• 验证CA签名是否有效（使用CA机构的公钥解密签名，对比证书内容的哈希值，确认证书未被篡

改）。

若验证失败，浏览器会提示“网站不安全”，阻止用户继续访问，避免用户被伪装的恶意站点欺骗。

1. 密钥协商（防窃听）：安全传输会话密钥

身份验证通过后，客户端和服务端通过非对称加密协商会话密钥：

• 客户端使用服务端证书中的“公钥”，加密一个随机生成的“会话密钥”，发送给服务端；
• 服务端使用自己的“私钥”解密该数据，获取会话密钥；
• 至此，客户端和服务端均掌握了同一把会话密钥，且该密钥仅在本次连接中有效（一次连接对应一个

• 客户端发送数据前，用会话密钥加密数据，同时生成数据的“哈希值”（用于完整性校验），一并发

送给服务端；

• 服务端接收后，先用会话密钥解密数据，再通过相同的哈希算法计算接收数据的哈希值，与客户端发

送的哈希值对比；

• 若哈希值一致，说明数据未被篡改；若不一致，说明数据在传输过程中被修改，服务端会拒绝处理该

数据。

✅ 核心安全保障总结

• 防窃听：数据通过会话密钥对称加密，即使被抓包，没有会话密钥也无法解析明文；
• 防篡改：通过哈希值校验数据完整性，篡改后的数据哈希值会变化，可被立即检测；
• 防伪造：通过CA证书验证服务端身份，避免连接到伪装的恶意站点。

1. 什么是SSL/TLS协议？它们在HTTPS中扮演什么角色？

一、SSL/TLS协议的定义与关系

SSL（Secure Sockets Layer，安全套接层）和TLS（Transport Layer Security，传输层安全协议）

是用于保障网络传输安全的加密协议，两者本质是“迭代升级”的关系，并非独立协议：

• SSL：早期由网景公司开发，用于解决HTTP明文传输的安全问题，主要版本有SSLv1、SSLv2、

SSLv3（因存在严重安全漏洞，目前均已被淘汰）；

• TLS：IETF（互联网工程任务组）在SSLv3的基础上标准化并升级而来，弥补了SSL的安全缺陷，

目前主流版本为TLS1.2、TLS1.3（TLS1.0、TLS1.1也已逐步被废弃）；

• 核心关系：TLS是SSL的“升级版”，日常所说的“SSL协议”本质上已被TLS取代，但行业习惯仍

将“SSL/TLS”并列称呼，HTTPS中实际使用的是TLS协议。

二、SSL/TLS在HTTPS中的核心角色（“安全加密层”）

HTTPS的安全性完全依赖于SSL/TLS协议，其核心作用是在客户端和服务端之间建立一条“安全的传输通道”，具体扮演3个关键角色：

1. 身份认证角色：确认通信双方的合法性

SSL/TLS通过“数字证书”机制实现身份认证，核心是验证服务端身份（客户端身份验证为可选，如银行转账等场景会用到）：

• 服务端需向CA机构申请包含自身公钥和身份信息的数字证书；