HTTP Client/Server 理论

---

---

一、HTTP 概述

HTTP（超文本传输协议，HyperText Transfer Protocol） 用于在客户端与服务器之间传输数据（如网页、图片等），是万维网（WWW）的核心应用层协议。它基于 TCP/IP，通过统一资源标识符（Uniform Resource Identifiers，URI）定位资源，最初旨在支持 HTML 页面的发布与获取。其安全版本为 HTTPS。

.

1.HTTP 的请求-响应

HTTP 的基本工作原理：

• 客户端向服务器发送请求，服务器接收到请求后，返回相应的资源。

• 返回的资源可以是网页、图像、音频文件、视频等。

HTTP 使用了客户端-服务器模型：

• 客户端发送请求，服务器返回响应。

HTTP 的请求-响应模型，主要包含以下步骤：

• 建立连接：客户端与服务器通过传输层协议建立连接（HTTP/1.x 基于 TCP；HTTP/2 仍用 TCP，但采用二进制帧；HTTP/3 则基于 UDP 的 QUIC 协议）。

• 发送请求：客户端发送包含 URL、请求方法（如GET、POST、PUT、DELETE 等）、请求头（如Accept、User-Agent）及可选请求体的 HTTP 请求。

• 处理请求：服务器解析请求，定位资源并执行相应操作（如读取文件、查询数据库或生成动态内容）。

• 返回响应：服务器返回包含状态码、响应头和可选响应体（如 HTML、图片）的 HTTP 响应。

• 关闭连接：响应完成后，连接通常关闭，除非启用了持久连接（如 HTTP/1.1 的 keep-alive）。

2.HTTP 方法

HTTP 方法：指定了客户端可以对服务器上的资源执行哪些动作。

主要的HTTP方法有：

• GET：请求从服务器获取指定资源。这是最常用的方法，用于访问页面。

• POST：请求服务器接受并处理请求体中的数据，通常用于表单提交。

• PUT：请求服务器存储一个资源，并用请求体中的内容替换目标资源的所有内容。

• DELETE：请求服务器删除指定的资源。

• HEAD：与 GET 类似，但不获取资源的内容，只获取响应头信息。

.

3.HTTP 状态码

HTTP状态码是服务器对客户端请求的响应。

状态码分为五类：

• 1xx（信息性状态码）：表示接收的请求正在处理。

• 2xx（成功状态码）：表示请求正常处理完毕。

• 3xx（重定向状态码）：需要后续操作才能完成这一请求。

• 4xx（客户端错误状态码）：表示请求包含语法错误或无法完成。

• 5xx（服务器错误状态码）：服务器在处理请求的过程中发生了错误。

.

4.HTTP 版本

HTTP 有多个版本，目前广泛使用的是 HTTP/1.1 和 HTTP/2，以及正在逐步推广的 HTTP/3。

• HTTP/1.1：支持持久连接，允许多个请求/响应通过同一个 TCP 连接传输，减少了建立和关闭连接的消耗。

• HTTP/2：基于二进制分帧，支持多路复用，允许同时通过单一的 HTTP/2 连接发起多重的、独立的、双向的交流。

• HTTP/3：基于 QUIC 协议，旨在减少网络延迟，提高传输速度和安全性。

.

5.安全性

HTTP 本身不安全，数据以明文传输，易被窃听或篡改。为解决此问题，HTTPS 在 HTTP 之上引入 SSL/TLS 协议，提供加密通信和身份验证，确保数据的机密性与完整性。

.

---

.

二、HTTP/HTTPS 简介

HTTP（超文本传输协议，Hypertext Transfer Protocol） 是一种用于从网络传输超文本到本地浏览器的传输协议。它定义了客户端与服务器之间请求和响应的格式。HTTP 工作在 TCP/IP 模型之上，通常使用端口 80。

HTTPS（超文本传输安全协议，Hypertext Transfer Protocol Secure） 是 HTTP 的安全版本，它在 HTTP 下增加了 SSL/TLS 协议，提供了数据加密、完整性校验和身份验证。HTTPS 通常使用端口 443。

.

1.HTTP 工作原理

HTTP 协议工作于客户端-服务端架构上。工作过程如下：

• 客户端发起请求：用户通过客户端（如浏览器）输入 URL，客户端向服务器发起一个 HTTP 请求。

• 服务器处理请求：服务器接收到请求后，根据请求的类型（如GET、POST等）和请求的资源，进行相应的处理。

• 服务器返回响应：服务器将处理结果包装成HTTP响应消息，发送回客户端。

• 客户端渲染页面：客户端接收到响应后，根据响应内容（如HTML、图片等）渲染页面，展示给用户。

Web 服务器有：Nginx 服务器，Apache 服务器，IIS 服务器（Internet Information Services）等。

HTTP 的三个关键特性：

• 无连接：每次请求完成后即断开连接，节省资源。

• 媒体独立：可传输任意类型数据，只需通过 MIME 类型标明内容格式。

• 无状态：协议不保存请求之间的状态，每次请求需包含完整信息。

.

2.HTTPS 作用

HTTPS 通过在 HTTP 与传输层之间加入 SSL/TLS 加密层，在不安全网络中建立安全通信信道，有效防范窃听、篡改和中间人攻击。

其安全性依赖于以下条件：

• 浏览器正确实现 HTTPS，且操作系统预装了受信任的证书颁发机构（CA）；

• CA 仅向合法网站颁发证书；

• 网站提供由受信任 CA 签发的有效证书（浏览器通常会警告无效证书）；

• 证书正确匹配所访问的域名（如访问https://www.baidu.com时，证书必须签发给该域名）；

• SSL/TLS 协议本身提供可靠的加密与身份认证能力。

只有满足上述条件，HTTPS 连接才可被信任。

.

3.HTTP 与 HTTPS 区别

安全性上有本质的区别：

• HTTP 以明文传输数据，不安全；

• HTTPS 在 HTTP 基础上引入 SSL/TLS 协议，提供加密、身份认证和数据完整性保护，有效防范窃听与篡改。

主要区别如下：

• 加密：

  • HTTP：数据传输过程中不加密，容易被截获和篡改。

  • HTTPS：使用SSL/TLS协议对传输的数据进行加密，保护数据传输过程中的安全性。

• 安全性：

  • HTTP：不提供数据加密，安全性较低。

  • HTTPS：提供数据加密和完整性校验，安全性较高。

• 证书：

  • HTTP：不需要证书。

  • HTTPS：需要SSL证书来启用加密，并验证服务器的身份。

• 性能：

  • HTTP：由于不加密数据，性能略高于HTTPS。

  • HTTPS：由于需要进行加密和解密，可能会有一定的性能开销。

• 成本：

  • HTTP：通常免费。

  • HTTPS：需要购买SSL证书，可能会有一定的成本。

.

---

.

三、HTTP 消息结构

HTTP 基于客户端/服务器（C/S）架构，是一种无状态的请求/响应协议，通过可靠连接（如 TCP）交换信息。

HTTP 消息分为两类：请求消息（由客户端发送）和响应消息（由服务器返回），均由符合特定格式的文本行组成。

• 客户端（如浏览器）发起 HTTP 请求；

• 服务器（如 Nginx、Apache、IIS）接收请求并返回响应。

.

1.客户端请求消息

客户端发送HTTP请求到服务器时，格式为：请求行(request line) + 请求头部(header) + 空行 + 请求数据。

• 请求行（Request Line）：

  • 方法：如 GET、POST、PUT、DELETE等，指定要执行的操作。

  • 请求 URI（统一资源标识符）：请求的资源路径，通常包括主机名、端口号（如果非默认）、路径和查询字符串。

  • HTTP 版本：如 HTTP/1.1 或 HTTP/2。

  请求行的格式示例：GET /index.html HTTP/1.1

• 请求头（Request Headers）：

  • 包含了客户端环境信息、请求体的大小（如果有）、客户端支持的压缩类型等。

  • 常见的请求头包括Host、User-Agent、Accept、Accept-Encoding、Content-Length等。

• 空行：

  • 请求头和请求体之间的分隔符，表示请求头的结束。

• 请求体（可选）：

  • 在某些类型的HTTP请求（如 POST 和 PUT）中，请求体包含要发送给服务器的数据。

.

2.服务器响应消息

HTTP 响应消息的组成：状态行 + 消息报头 + 空行 + 响应正文。

• 状态行（Status Line）：

  • HTTP 版本：与请求消息中的版本相匹配。

  • 状态码：三位数，表示请求的处理结果，如 200 表示成功，404 表示未找到资源。

  • 状态信息：状态码的简短描述。

  状态行的格式示例：HTTP/1.1 200 OK

• 响应头（Response Headers）：

  • 包含了服务器环境信息、响应体的大小、服务器支持的压缩类型等。

  • 常见的响应头包括Content-Type、Content-Length、Server、Set-Cookie等。

• 空行：

  • 响应头和响应体之间的分隔符，表示响应头的结束。

• 响应体（可选）：

  • 包含服务器返回的数据，如请求的网页内容、图片、JSON数据等。

.

3.实例

使用 GET 来传递数据的实例：

• 客户端请求：

GET /index.html HTTP/1.1
Host: www.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Encoding: gzip, deflate
Connection: keep-alive

• 服务端响应:

HTTP/1.1 200 OK
Date: Wed, 18 Apr 2024 12:00:00 GMT
Server: Apache/2.4.1 (Unix)
Last-Modified: Wed, 18 Apr 2024 11:00:00 GMT
Content-Length: 12345
Content-Type: text/html; charset=UTF-8<!DOCTYPE html>
<html>
<head><title>Example Page</title>
</head>
<body><h1>Hello, World!</h1><!-- The rest of the HTML content -->
</body>
</html>

实际应用中，HTTP 消息可以包含更多的头字段，并且请求体和响应体的大小会根据传输的数据而变化。

.

---

.

其他

1.HTTP 请求方法

HTTP 请求方法定义了客户端和服务器之间的通信方式。常见 HTTP 请求方法

序号	方法	描述
1	GET	从服务器获取资源。用于请求数据而不对数据进行更改。例如，从服务器获取网页、图片等。
2	POST	向服务器发送数据以创建新资源。常用于提交表单数据或上传文件。发送的数据包含在请求体中。
3	PUT	向服务器发送数据以更新现有资源。如果资源不存在，则创建新的资源。与 POST 不同，PUT 通常是幂等的，即多次执行相同的 PUT 请求不会产生不同的结果。
4	DELETE	从服务器删除指定的资源。请求中包含要删除的资源标识符。
5	PATCH	对资源进行部分修改。与 PUT 类似，但 PATCH 只更改部分数据而不是替换整个资源。
6	HEAD	类似于 GET，但服务器只返回响应的头部，不返回实际数据。用于检查资源的元数据（例如，检查资源是否存在，查看响应的头部信息）。
7	OPTIONS	返回服务器支持的 HTTP 方法。用于检查服务器支持哪些请求方法，通常用于跨域资源共享（CORS）的预检请求。
8	TRACE	回显服务器收到的请求，主要用于诊断。客户端可以查看请求在服务器中的处理路径。
9	CONNECT	建立一个到服务器的隧道，通常用于 HTTPS 连接。客户端可以通过该隧道发送加密的数据。

.

2.HTTP 响应头信息

HTTP 响应头信息是服务器在响应客户端的 HTTP 请求时发送的一系列头字段，用于提供关于响应的附加信息和服务器指令。

常见 HTTP 响应头字段：

响应头（英文）	响应头（中文）	描述
Date	日期	响应生成的日期和时间。
例如：Wed, 18 Apr 2024 12:00:00 GMT
Server	服务器	服务器软件的名称和版本。
例如：Apache/2.4.1 (Unix)
Content-Type	内容类型	响应体的媒体类型（MIME 类型）。
例如：text/html; charset=UTF-8, application/json
Content-Length	内容长度	响应体的大小，单位是字节。
例如：3145
Content-Encoding	内容编码	响应体的压缩编码方式。
例如：gzip, deflate
Content-Language	内容语言	响应体的语言。
例如：zh-CN
Content-Location	内容位置	响应体的 URI。
例如：/index.html
Content-Range	内容范围	响应体的字节范围，用于分块传输。
例如：bytes 0-999/8000
Cache-Control	缓存控制	控制响应的缓存行为。
例如：no-cache 表示必须重新请求
Connection	连接	管理连接的选项。
例如：keep-alive（保持连接）或 close（关闭连接）
Set-Cookie	设置 Cookie	设置客户端的 Cookie。
例如：sessionId=abc123; Path=/; Secure
Expires	过期时间	响应体的过期日期和时间。
例如：Thu, 18 Apr 2024 12:00:00 GMT
Last-Modified	最后修改时间	资源最后被修改的日期和时间。
例如：Wed, 18 Apr 2024 11:00:00 GMT
ETag	实体标签	资源特定版本的唯一标识符。
例如："33a64df551425fcc55e6"
Location	位置	用于重定向的 URI。
例如：/newresource
Pragma	实现特定的指令	包含实现特定的指令（主要用于兼容 HTTP/1.0）。
例如：no-cache
WWW-Authenticate	认证信息	用于 HTTP 认证的提示信息。
例如：Basic realm="Access to the site"
Accept-Ranges	接受范围	指定服务器支持的请求范围类型。
例如：bytes
Age	经过时间	响应自原始服务器生成后经过的秒数（通常由代理服务器设置）。
例如：24
Allow	允许方法	列出资源允许的 HTTP 方法。
例如：GET, POST, HEAD
Vary	变化	告诉缓存如何根据请求头决定是否使用缓存。
例如：Accept
Strict-Transport-Security	严格传输安全	强制浏览器仅通过 HTTPS 与服务器通信。
例如：max-age=31536000; includeSubDomains
X-Frame-Options	框架选项	控制页面是否允许在 <frame>、<iframe> 中显示，防止点击劫持。
例如：SAMEORIGIN
X-Content-Type-Options	内容类型选项	禁止浏览器 MIME 类型嗅探。
例如：nosniff
X-XSS-Protection	XSS 保护	启用浏览器的 XSS 过滤机制。
例如：1; mode=block
Public-Key-Pins	公钥固定	用于 HTTP 公钥固定（HPKP），防止中间人攻击。
例如：pin-sha256="base64+primarykey"; pin-sha256="base64+backupkey"; max-age=expireTime

注意：实际响应中的头字段及其值会因服务器配置和处理逻辑而异。

.

3.HTTP 状态码

当浏览者访问一个网页时，浏览者的浏览器会向网页所在服务器发出请求。当浏览器接收并显示网页前，此网页所在的服务器会返回一个包含 HTTP 状态码的信息头（server header）用以响应浏览器的请求。

HTTP 状态码的英文为 HTTP Status Code。

1）状态码分类

HTTP 状态码由三个十进制数字组成，第一个十进制数字定义了状态码的类型。响应分为五类：

分类	描述
1xx（信息性状态码）	表示接收的请求正在处理。
2xx（成功状态码）	表示请求正常处理完毕。
3xx（重定向状态码）	需要后续操作才能完成这一请求。
4xx（客户端错误状态码）	表示请求包含语法错误或无法完成。
5xx（服务器错误状态码）	服务器在处理请求的过程中发生了错误。

2）HTTP 状态码列表

状态码	状态码英文名称	中文描述
100	Continue	继续。客户端应继续其请求
101	Switching Protocols	切换协议。服务器根据客户端的请求切换协议。只能切换到更高级的协议，例如，切换到 HTTP 的新版本协议

状态码	状态码英文名称	中文描述
200	OK	请求成功。一般用于 GET 与 POST 请求
201	Created	已创建。成功请求并创建了新的资源
202	Accepted	已接受。已经接受请求，但未处理完成
203	Non-Authoritative Information	非授权信息。请求成功。但返回的 meta 信息不在原始的服务器，而是一个副本
204	No Content	无内容。服务器成功处理，但未返回内容。在未更新网页的情况下，可确保浏览器继续显示当前文档
205	Reset Content	重置内容。服务器处理成功，用户终端（例如：浏览器）应重置文档视图。可通过此返回码清除浏览器的表单域
206	Partial Content	部分内容。服务器成功处理了部分 GET 请求

状态码	状态码英文名称	中文描述
300	Multiple Choices	多种选择。请求的资源可包括多个位置，相应可返回一个资源特征与地址的列表用于用户终端（例如：浏览器）选择
301	Moved Permanently	永久移动。请求的资源已被永久的移动到新 URI，返回信息会包括新的 URI，浏览器会自动定向到新 URI。今后任何新的请求都应使用新的 URI 代替
302	Found	临时移动。与 301 类似。但资源只是临时被移动。客户端应继续使用原有 URI
303	See Other	查看其它地址。与 301 类似。使用 GET 和 POST 请求查看
304	Not Modified	未修改。所请求的资源未修改，服务器返回此状态码时，不会返回任何资源。客户端通常会缓存访问过的资源，通过提供一个头信息指出客户端希望只返回在指定日期之后修改的资源
305	Use Proxy	使用代理。所请求的资源必须通过代理访问
306	Unused	已经被废弃的 HTTP 状态码
307	Temporary Redirect	临时重定向。与 302 类似。使用 GET 请求重定向

状态码	状态码英文名称	中文描述
400	Bad Request	客户端请求的语法错误，服务器无法理解
401	Unauthorized	请求要求用户的身份认证
402	Payment Required	保留，将来使用
403	Forbidden	服务器理解请求客户端的请求，但是拒绝执行此请求
404	Not Found	服务器无法根据客户端的请求找到资源（网页）。通过此代码，网站设计人员可设置“您所请求的资源无法找到”的个性页面
405	Method Not Allowed	客户端请求中的方法被禁止
406	Not Acceptable	服务器无法根据客户端请求的内容特性完成请求
407	Proxy Authentication Required	请求要求代理的身份认证，与 401 类似，但请求者应当使用代理进行授权
408	Request Time-out	服务器等待客户端发送的请求时间过长，超时
409	Conflict	服务器完成客户端的 PUT 请求时可能返回此代码，服务器处理请求时发生了冲突
410	Gone	客户端请求的资源已经不存在。410 不同于 404，如果资源以前有现在被永久删除了可使用 410 代码，网站设计人员可通过 301 代码指定资源的新位置
411	Length Required	服务器无法处理客户端发送的不带 Content-Length 的请求信息
412	Precondition Failed	客户端请求信息的先决条件错误
413	Request Entity Too Large	由于请求的实体过大，服务器无法处理，因此拒绝请求。为防止客户端的连续请求，服务器可能会关闭连接。如果只是服务器暂时无法处理，则会包含一个 Retry-After 的响应信息
414	Request-URI Too Large	请求的 URI 过长（URI 通常为网址），服务器无法处理
415	Unsupported Media Type	服务器无法处理请求附带的媒体格式
416	Requested range not satisfiable	客户端请求的范围无效
417	Expectation Failed	服务器无法满足请求头中 Expect 字段指定的预期行为
418	I’m a teapot	状态码 418 实际上是一个愚人节玩笑。它在 RFC 2324 中定义，该 RFC 是一个关于超文本咖啡壶控制协议（HTCPCP）的笑话文件。在这个笑话中，418 状态码是作为一个玩笑加入到 HTTP 协议中的。

状态码	状态码英文名称	中文描述
500	Internal Server Error	服务器内部错误，无法完成请求
501	Not Implemented	服务器不支持请求的功能，无法完成请求
502	Bad Gateway	作为网关或者代理工作的服务器尝试执行请求时，从远程服务器接收到了一个无效的响应
503	Service Unavailable	由于超载或系统维护，服务器暂时的无法处理客户端的请求。延时的长度可包含在服务器的 Retry-After 头信息中
504	Gateway Time-out	充当网关或代理的服务器，未及时从远端服务器获取请求
505	HTTP Version not supported	服务器不支持请求的 HTTP 协议的版本，无法完成处理

.

4.HTTP 内容类型

Content-Type（内容类型），一般是指网页中存在的 Content-Type，用于定义网络文件的类型和网页的编码，决定浏览器将以什么形式、什么编码读取这个文件，这就是经常看到一些 PHP 网页点击的结果却是下载一个文件或一张图片的原因。

Content-Type 标头告诉客户端实际返回的内容的内容类型。

语法格式：

Content-Type: text/html; charset=utf-8
Content-Type: multipart/form-data; boundary=something

常见的媒体格式类型如下：

• text/html ： HTML格式

• text/plain ：纯文本格式

• text/xml ： XML格式

• image/gif ：gif图片格式

• image/jpeg ：jpg图片格式

• image/png：png图片格式

以application开头的媒体格式类型：

• application/xhtml+xml ：XHTML格式

• application/xml： XML数据格式

• application/atom+xml ：Atom XML聚合格式

• application/json： JSON数据格式

• application/pdf：pdf格式

• application/msword ： Word文档格式

• application/octet-stream ： 二进制流数据（如常见的文件下载）

• application/x-www-form-urlencoded ： 中默认的encType，form表单数据被编码为key/value格式发送到服务器（表单默认的提交数据的格式）

另外一种常见的媒体格式是上传文件之时使用的：

• multipart/form-data ： 需要在表单中进行文件上传时，就需要使用该格式

.

5.MIME 类型

MIME (Multipurpose Internet Mail Extensions，多功能因特网邮政扩展程序)

• 是一种标准，用于标识文档、文件或字节流的类型和格式。

• 尽管源于电子邮件，现广泛用于 HTTP 等协议中。

浏览器依据服务器响应头中的 MIME 类型（而非文件扩展名）决定如何处理内容。若 MIME 类型配置错误，可能导致文件无法正确显示或被误判为下载项。

语法格式：

type/subtype

• 由类型（type）和子类型（subtype）组成，中间用 / 分隔，无空格。

• 不区分大小写，但惯例使用小写。

常见默认类型：

• text/plain：纯文本的默认类型。

• application/octet-stream：未知二进制数据的默认类型，通常触发浏览器下载。

1）常见的 MIME 类型

• 超文本标记语言文本 .html、.html：text/html

• 普通文本 .txt： text/plain

• RTF 文本 .rtf： application/rtf

• GIF 图形 .gif： image/gif

• JPEG 图形 .jpeg、.jpg： image/jpeg

• au 声音文件 .au： audio/basic

• MIDI 音乐文件 mid、.midi： audio/midi、audio/x-midi

• RealAudio 音乐文件 .ra、.ram： audio/x-pn-realaudio

• MPEG 文件 .mpg、.mpeg： video/mpeg

• AVI 文件 .avi： video/x-msvideo

• GZIP 文件 .gz： application/x-gzip

• TAR 文件 .tar： application/x-tar

类型	描述	典型示例
text	表明文件是普通文本，理论上是人类可读	text/plain, text/html, text/css, text/javascript
image	表明是某种图像。不包括视频，但是动态图（比如动态gif）也使用image类型	image/gif, image/png, image/jpeg, image/bmp, image/webp, image/x-icon, image/vnd.microsoft.icon
audio	表明是某种音频文件	audio/midi, audio/mpeg, audio/webm, audio/ogg, audio/wav
video	表明是某种视频文件	video/webm, video/ogg
application	表明是某种二进制数据	application/octet-stream, application/pkcs12, application/vnd.mspowerpoint, application/xhtml+xml, application/xml, application/pdf

.

---

声明：资源可能存在第三方来源，若有侵权请联系删除！