一、HTTP和HTTPS的基本概念

HTTP（HyperText Transfer Protocol：超文本传输协议）：是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从Web服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输减少。

HTTPS（HyperText Transfer Protocol Secure：超文本传输安全协议）：是以安全为目标的HTTP通道，即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。HTTPS 开发的主要目的，是提供对网站服务器的身份认证，保护交换数据的隐私与完整性。

---

二、HTTP和HTTPS的区别

1、HTTPS协议需要到CA（Certificate Authority，数字证书认证机构）申请证书，一般免费证书较少，因而需要一定费用。

2、HTTP是超文本传输协议，信息是明文传输，数据是不加密的，而HTTPS则是具有安全性的SSL加密传输协议。

3、HTTP和HTTPS使用的是完全不同的连接方式，用的端口也不一样，HTTP是80端口，HTTPS是443端口。

4、HTTP的连接很简单，是无状态的，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP协议安全。

---

三、HTTP的工作原理

1.客户端与服务器建立TCP连接（三次握手）
2.连接成功后，客户端发送请求给服务器
3.服务器接收到客户端发送的请求后作出相应，并将响应信息发送给客户端
4.服务器发送完响应信息后，就会断开TCP连接，因此HTTP是无状态的，下一次访问的时候不会知道之前访问的过程
5.客户端接收到响应信息，浏览器进行解析，将html文件解析后呈现一个网页在浏览器上

---

四、HTTPS的工作原理

1、客户端发起 HTTPS 请求

用户在浏览器里输入一个 https 网址，然后连接到 server 的 443 端口。

2、传送证书

采用 HTTPS 协议的服务器必须要有一套数字证书，这套证书其实就是一对公钥和私钥，公钥就像是一把锁头，私钥是一个钥匙，只有这个私钥才能打开公钥，其他人打不开自然就看不到里边的内容了

服务器将证书发送给客户端，这个证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，过期时间等等。

3、客户端解析证书

这部分工作是有客户端的TLS来完成的，首先会验证公钥是否有效，如果发现异常，则会弹出一个警告框，提示证书存在问题。

4、生成随机密钥

如果证书没有问题，那么就生成一个随机对称密钥
5、加密对称密钥

公钥对该对称密钥进行加密，就好像上面说的，把随机值用锁头锁起来，这样除非有钥匙，不然看不到被锁住的内容。

6、传送加密信息

将加密后的对称密钥发送给服务器，目的就是让服务端得到对称密钥，以后客户端和服务端的通信就可以通过这个对称密钥进行加密解密了。

7、服务端解密信息

服务端用私钥解密后，得到了客户端传过来的对称密钥，然后把内容通过该密钥进行对称加密，所谓对称加密就是，将信息和对称密钥通过某种算法混合在一起，这样除非知道对称密钥，不然无法获取内容，而正好客户端和服务端都知道这个密钥，所以只要加密算法够彪悍，对称密钥够复杂，数据就够安全。

8、传输加密后的信息

这部分信息是服务器用对称密钥加密后的信息，可以在客户端被还原。

9、客户端解密信息

客户端用之前生成的对称密钥解密服务段传过来的信息，于是获取了解密后的内容，整个过程第三方即使监听到了数据，也束手无策。

---

五、HTTPS的优缺点

1.优点：

（1）使用HTTPS协议可认证用户和服务器，确保数据发送到正确的客户机和服务器；

（2）HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全，可防止数据在传输过程中不被窃取、改变，确保数据的完整性。

（3）HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人攻击的成本。

（4）谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”。

2.缺点：

（1）HTTPS协议握手阶段比较费时，会使页面的加载时间延长近50%，增加10%到20%的耗电；

（2）HTTPS连接缓存不如HTTP高效，会增加数据开销和功耗，甚至已有的安全措施也会因此而受到影响；

（3）SSL证书需要钱，功能越强大的证书费用越高，个人网站、小网站没有必要一般不会用。

（4）SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗。

（5）HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。