http是大家既熟悉有陌生的一种协议，http依托tcp/ip协议构建，其已经成为互联网最重要的协议。本文从http在七层模型中的位置、http请求方法、http请求头、http响应报文、http状态码、http延时、http缓存、http长连接、http安全、http应用 几种维度学习http。

一、HTTP之七层网络模型

二、HTTP协议版本异同

http协议共计4个版本分别是http0.9、http1.0、http1.1、http2.0、http3.0，各个版本异同后续补充。

三、HTTP请求方法二、HTTP部分指标汇总

• HTTP常用状态码

• Request Headers请求头

• Response Headers响应头

四、HTTP延时

• 协议延时

        拥塞控制算法延时

        Nagle延时算法：Nagle的初衷避免发送大量的小包，防止小包泛滥于网络，理想情况下，对于一个TCP连接而言，网络上每次只能一个小包存在。它更多的是端到端意义上的优化。tomcat默认此项是开启状态如果想关闭-Dsun.net.httpserver.nodelay=false。

        CORK算法：提高网络利用率，理想情况下，完全避免发送小包，仅仅发送满包以及不得不发的小包。

        TCP握手延时

         对于http请求如果使用频率很高，握手将是一个很大的开销，可以使用http长连接，特别适合服务器之间的http通讯。       

        TIME_WAIT 时延和端口耗尽时延 

        TCP在关闭时，不会立即被开放给下一次TCP链接使用，会在内存中存留一段时间，来保证同一端口不被重复使用。

• 外界原因导致延时

        地域过远延时用cdn，css js 图片文件不合理规划延时，dns解析延时等等。

五、HTTP缓存

           为什么要使用缓存？缓存可以加速客户端的渲染、降低服务端带宽压力、提升服务器并发能力，但是缓存也带来了更新问题。以下场景适合用缓存，比如 html、css、js、字典类请求、区域类请求，这些服务或者文件更新比较慢用缓存也是优化应用的一种途径。大型网站大量的使用缓存百度首页就是一个例子，图中画圈的部分memory cache(内存缓存)、disk cache(文件系统缓存)都是百度使用缓存的例子。memory cache、disk cache区别不在本文赘述，后续研究浏览器相关的帖子在讨论。

• 缓存相关请求响应头   

       Cache-Control 请求/响应头，缓存控制字段，可以说是控制http缓存的最高指令，要不要缓存也是它说了算。Expires 响应头 代表资源过期时间，由服务器返回提供，GMT格式日期，是http1.0的属性，在与max-age(http1.1)共存的情况下，优先级要低，Last-Modified 响应头 资源最新修改时间，由服务器告诉浏览器，if-Modified-Since 请求头 资源最新修改时间，由浏览器告诉服务器(其实就是上次服务器给的Last-Modified，请求又还给服务器对比)，和Last-Modified是一对，它两会进行对比。Etag 响应头 资源标识，由服务器告诉浏览器。if-None-Match 请求头，缓存资源标识，由浏览器告诉服务器(其实就是上次服务器给的Etag)，和Etag是一对，它两会进行对比。

• max-age和Expires的区别

       max-age是http1.1的属性，Expires是http1.0的属性，为了做到向下兼容，一般写两个。但如在1.1环境下，max-age优先级比Expires高。max-age是相对过期时间，Expires是绝对过期时间。max-age在浏览器成功缓存文件后，只需相对请求成功之后的多长时间不再发起请求就好了，而Expires总是需要服务器返回一个精准的GMT格式的日期，并以这个日期为标准来判断缓存是否过期，相对就比较麻烦，所以才有了max-age这样的存在来代替它。同理，no-cache和 Pargma也是这样的存在，一个是1.1的属性，一个是1.0向下兼容同时写了两个。

• CDN缓存      

       如果响应要求更高推荐使用cdn

• 缓存是否有效与用户操作 

六、HTTP长连接

       谈起http长连接，他的原理是降低http通讯过程中建立关闭连接的过程，有人测试http长连接比端连接在相同请求的情况下[测试报告]，效率提升25%。长连接是一直保持吗？http长连接不是一直保持的，服务器在通讯过程中可能随时断开长连接。程序设计的时候不要天然认为长连接会一直保持通讯状态，要有再次建立长连接的机制。

短连接的步骤为：建立连接-发送请求报文-接收响应报文-关闭连接...建立连接-发送请求报文-接收响应报文-关闭连接
长连接的步骤为：建立连接-发送请求报文-接收响应报文...-关闭连接

• 如何开启长连接

#http信息
Connection:Keep-Alive 
#请求10次断开连接，长连接超时为120秒
Keep-Alive:max=10,timeout=120

#tomcat开启 Tomcat中的相关设置,在server.xml 中的Connector 元素中。 
keepAliveTimeout：此时间过后连接就close了，单位是millieconds 
maxKeepAliveRequests：最大长连接个数（1表示禁用，-1表示不限制个数，默认100个，一般设置在100~200之间）
maxKeepAliveRequests="1"就可以避免tomcat产生大量的TIME_WAIT连接，从而从一定程度上避免tomcat假死

• HTTP长连接如何保持的？

       http长连接没有保持心跳的机制，他只有最大超时时间和连接请求超过次数断开的机制，所以http长连接在应对网络抖动反馈是比较慢的。

• HTTP长连接 VS Netty长连接

       性能对比

       待更新[先抛个锚点，后续研究netty专题做测试]     

       及时反馈

       netty通过心跳的设计这块比http长连接做的更优秀      

七、HTTP安全

HTTP安全面临哪些考验

• 常见的http安全问题

        隐私泄露 http是明文传播传输内容都会被中间人看到。例如：不要连接私人wifi啥的

        劫持  劫持分为DNS 劫持、客户端劫持、链路劫持 由于网络访问的中间人可以串改用户浏览器界面。 例如：电信前几年经常劫持我浏览的界面推送广告(链路劫持)、百度前几年被DNS劫持定向到国外网站、前几年流行的脚本攻击(客户端劫持)

• http安全问题解决办法

       DNS劫持：对于用户来说不要使用陌生软件安装升级好杀毒软件保护dns不被串改

       客户端劫持：客户端劫持主要指XSS(跨站脚本攻击)，应对方式如下：  1.对于用户来说不要连接陌生wifi。  2.对于用户来说不要访问陌生危险的链接。   3.对于站长来说要对于所有的网站输入框要对所有的脚本输入检查。 4.保护服务器安全不要被黑客串改代码。

       链路劫持：1.对于用户来说不要连接陌生wifi。2.对于用户来说，保护好自己的路由器的账户密码。 3.有一种针对营运商的网络攻击这种危害面比较大我们用户也无法掌控。

 HTTPS解决什么问题？

• tomcat使用自制作证书     

       tomcat提供了单向验证、双向验证两种证书认证，需要先生成证书在修改tomcat server.xml文件，然后在导入客户端认证证书即可访问https网站。

#如何制作证书这里就不说了
#tomcat单向认证
<Connector port="443" protocol="HTTP/1.1"
               maxThreads="150" SSLEnabled="true" schema="https"
               secure="true" clientAuth="false" sslProtocol="TLS"
               #证书路径
               keystoreFile="srv/ftp/cas/server/server.p12"
               #证书密码
               keystoreType="pkcs12"
               keystorePass="sheng123" />

#tomcat双向认证
<Connector port="443" protocol="HTTP/1.1" 
maxThreads="150" SSLEnabled="true" 
scheme="https" secure="true" clientAuth="true" 
sslProtocol="TLS" keystoreFile="/srv/ftp/cas/server/server.p12"
keystoreType="pkcs12" keystorePass="sheng123" 
truststoreFile="/usr/local/tomcat/ca-trust.p12 truststoreType="jks"
truststorePass="sheng123"/>

• 自制证书、免费CA证书和付费CA证书的区别？  

   上面访问带证书的网站发现需要导入证书这个操作，说明浏览器不认我们私有证书。如果需要整正的证书服务，我们需要购买商业证书。免费证书即为免费型的 DV SSL 证书，可以保护一个完整的域名，不支持通配符阿里云上有免费的。   

八、HTTP应用

• 常见音视图文原理
• 断点续传原理
• 多线程下载原理
• http代理原理

其他文档

• HTTP权威设计指南
• 互联网根基之HTTP
• http延时优化
• TCP之Nagle算法&&延迟ACK
• tomcat优化
• http缓存详解
• 推荐抓包工具charles