深入浅出HTTP协议

我们知道目前很多应用系统中的内容传输协议采用的HTTP协议，因此不管你是前端人员、后端人员、运维人员，甚至是管理人员，都需要掌握HTTP知识！！

HTTP发展历史

• HTTP/0.9

该版本只有一个命令GET；没有HEADER等描述数据的信息； 服务器发送完毕，就关闭TCP连接。

• HTTP/1.0

该版本增加了很多命令；增加status code 和header；多字符集支持、多部分发送、权限、缓存等。

HTTP/1.1

该版本增加了持久连接、Pipeline，增加host和其他一些命令。持久连接会在HTTP特性中介绍；如果没有pipeline，那么Web服务器就需要串行处理请求，而有了pipeline，Web服务器就并行处理请求；而增加host实现了一台物理设备可以运行多个web服务。

• HTTP/2.0

所有数据以二进制传输，之前版本使用字符串进行传输；同一个连接 里面发送多个请求不再需要按照顺序来；头信息压缩以及推送等提高效率的功能。

HTTP三次握手

image.png

为什么要三次握手？因为网络是有可能延迟的，当客户端没有收到服务端的确认包，如果没有第三次握手，那么服务端不知道上次传输是不是被客户端正常接收了，如果没有接收，服务端的这个端口也是打开的，这就比较浪费资源。

HTTP报文

image

HTTP报文分为请求报文和响应报文，请求报文和响应报文分为起始行、首部（header）和主体（body），请求报文的首部包括三部分，分别是HTTP方法、资源目录和协议，而响应报文的首部包括协议版本、状态码和状态吗对应的意思，比如200状态的意思是ok。需要注意的是：HTTP header和HTTP body之间以一行分隔。

• HTTP方法

HTTP方法定义对资源的操作，常用的有GET、POST等，这就就不详细展开了。

• HTTP Code

HTTP Code用于定义服务器对请求的处理结果，各个区间的code有不用的语义。1xx 表示信息响应类，表示接收到请求并且继续处理；2xx 表示成功；3xx 表示重定向；4xx 表示客户端出错；5xx 表示服务器出错。

HTTP特性

• 跨域请求

同源策略，也就是说当两个请求的URL的协议、host和端口都相同的情况下，我们才认为这两个请求是同域的即同源，而只要协议、host和端口只要有一项是不同的，我们就认为是不同源的，即跨域，例如：

http://www.mukedada.com:80

http://www.mukedada.com:8080

上述两个请求就是跨域请求。需要注意的是跨域请求不是说浏览器限制了发起跨站请求，浏览器只是将返回结果拦截下来，最好的例子就是CSRF跨站脚本攻击。如果我们想让浏览器放行返回结果，则通过以下方法：

1. 服务端设置Access-Control-Allow-Origin参数为允许，例如'Access-Control-Allow-Origin' : '*'

2. <link>、<img>和<script>三标签中的请求是允许跨域的，这也是JSONP的跨域做法。

• Cache Control

对于静态资源，比如说image、js等，它们是不会经常方式变更的，而且它们的容量比较大，如果我们每次访问都要从服务器从获取相应数据，那么性能就会变得比较差，因此HTTP协议定义一些和缓存相关的参数。

可缓存性，表示在哪些地方可以缓存，比如说客户端浏览器、代理服务器等，它有三个常用的参数：public、private、no-cache。public 表明响应可以被任何对象缓存，包括发送请求的客户端浏览器、代理服务器等等；private 表示响应只能被单个用户缓存，不能作为共享缓存，即代理服务器不能缓存它；no-cache表明强制所有缓存了该响应的缓存用户，在使用已存储的缓存之前，发送带验证器的请求到源始服务器。

到期，max-age=<seconds>，设置缓存存储的最大周期，超过这个时间缓存就被认为过期。s-maxage=<seconds> 它的作用域仅在共享缓存（比如各个代理）。max-stale=<seconds> 表明客户端愿意接收一个已过期的资源。

验证，must-revalidate,缓存必须在使用之前验证旧资源的状态，并且不可使用过期资源。proxy-revalidate,与must-revalidate作用相同，但它仅适用于共享缓存（例如代理），并被私有缓存忽略。

其他。no-store,客户端和代理服务器不存储任何缓存，而是直接从服务器获取内容。no-transform:不得对资源进行转换或转变。Content-Encoding, Content-Range, Content-Type等HTTP头不能由代理修改。例如，非透明代理可以对图像格式进行转换，以便节省缓存空间或者减少缓慢链路上的流量。 no-transform指令不允许这样做。

• Cookie

服务端通过Set-Cookie将相关数据保存到浏览器中，而这些相关数据就是Cookie，那么，下次在同域的请求中就会带上这些Cookie，Cookie是键值对，可以设置多个。Cookie中通过max-age和expires设置过期时间，Secure值在https的时候发送，HttpOnly无法通过document.cookie访问。具体可以参考Session 和 Cookie。

• 资源验证

在Cache Control中我们介绍当设置no-cache参数时，表明每次请求都要到服务器验证，验证结果表明可以读取本地缓存才可以从本地读取缓存。只有到数据发生修改时，我们才需要从服务端读取最新数据，否则从本地读取缓存。此时，判断数据是否发生修改就变得尤为重要，通常我们采用Last-Modfied和Etag两个验证头来验证数据是否发生修改。其中Last-Modifed 通常配合If-Modified-Since或者If-UnModified-Since使用，而Etag 通常配合If-Match或者If-Non-Match使用。为了帮助大家理解，我举一个栗子。假设我们访问mudedada.com返回头信息包含：

Last-Modified：888

Etag:123

下一次访问mukedada.com的请求头中就会包含:

If-Modified-Since：888

If-Non-Match：123

服务器会比较请求头中的Last-Modified、Etag 和服务器中的对应值是否相同，如果不相同则重新获取，否则从本地缓存中获取。

• 长连接

我们知道一个HTTP需要创建一个TCP连接，完成之后就关闭TCP连接，这个成本比较高（因为创建一个TCP连接需要通过三次握手），所以在HTTP/1.1开始支持长连接，请求头标识是Connection:keep-alive。如下图所示，同一个Connection ID表示同一个连接。需要注意的是同一个连接只能是同域请求。

image.png

• 数据协商

数据协商指的是客户端向服务端发送请求时，客户端会声明它希望服务端返回个格式是什么？服务端根据客户端的声明来判断返回什么要的数据。其中客户端通过Accept、Accept-Encoding等参数进行设置，而服务端通过Content-Type等参数进行设置。

客户端相关参数：

1. Accept指定返回数据类型；

2. Accept-Encoding指定服务端的数据压缩方式，目前服务端的压缩算法有gzip, deflate, br等；

3. Accept-Language指定返回数据的语言，例如 Accept-Language: zh-CN,zh;q=0.9,en;q=0.8，其中q表示的是权重，也就是说浏览器更希望服务器返回的是中文；

4. User-Agent表示浏览器的相关信息，它能区分是移动端浏览器还是PC端浏览器，从而返回特定的页面。

服务端相关参数：

1. Content-Type指的是服务端返回的数据类型；

2. Content-Encoding对应客户端的Accept-Encoding，指的是数据压缩方式；

3. Content-Language服务端语言。

   image

image