HTTP 和 HTTPS 的区别 HTTPS优缺点

HTTPS优缺点

优点

• 内容加密，中间无法查看原始内容
• 身份认证，保证用户访问正确。如访问百度，即使DNS被劫持到第三方站点，也会提醒用户没有访问百度服务，可能被劫持
• 数据完整性，防止内容被第三方冒充或篡改
• 虽然不是绝对安全，但是现行架构下最安全的解决文案了，大大增加了中间人的攻击成本

缺点

• 要钱，功能越强大的证书费用越贵
• 证书需要绑定IP，不能在同一个IP上绑定多个域名
• https双方加解密，耗费更多服务器资源
• https握手更耗时，降低一定用户访问速度(优化好就不是缺点了)

HTTP 和 HTTPS 的区别

• HTTP是明文传输，不安全的，HTTPS是加密传输，安全的多
• HTTP标准端口是80，HTTPS标准端口是443
• HTTP不用认证证书免费，HTTPS需要认证证书要钱
• 连接方式不同，HTTP三次握手，HTTPS中TLS1.2版本7次，TLS1.3版本6次
• HTTP在OSI网络模型中是在应用层，而HTTPS的TLS是在传输层
• HTTP是无状态的，HTTPS是有状态的

HTTPS 的性能优化

访问速度优化

1. 会话复用，上面说了，复用session可以减少 CPU 消耗，因为不需要进行非对称密钥交换的计算。可以提升访问速度，不需要进行完全握手阶段二，节省了一个 RTT 和计算耗时。
2. 使用 SPDY 或者 HTTP2。SPDY 最大的特性就是多路复用，能将多个 HTTP 请求在同一个连接上一起发出去，不像目前的 HTTP 协议一样，只能串行地逐个发送请求。Pipeline 虽然支持多个请求一起发送，但是接收时依然得按照顺序接收，本质上无法解决并发的问题。HTTP2支持多路复用，有同样的效果。
3. 设置HSTS，服务端返回一个 HSTS 的 http header，浏览器获取到 HSTS 头部之后，在一段时间内，不管用户输入www.baidu.com还是http://www.baidu.com ，都会默认将请求内部跳转成https://www.baidu.com。Chrome, firefox, ie 都支持了 HSTS。
4. Nginx设置Ocsp stapling。Ocsp 全称在线证书状态检查协议 (rfc6960)，用来向 CA 站点查询证书状态，比如是否撤销。通常情况下，浏览器使用 OCSP 协议发起查询请求，CA 返回证书状态内容，然后浏览器接受证书是否可信的状态。这个过程非常消耗时间，因为 CA 站点有可能在国外，网络不稳定，RTT 也比较大。如果不需要查询则可节约时间。
5. False start。简单概括 False start 的原理就是在 clientkeyexchange 发出时将应用层数据一起发出来，能够节省一个 RTT。

计算性能优化

1. 优先使用 ECC椭圆加密算术
2. 使用最新版的 OpenSSL
3. TLS 远程代理计算
4. 硬件加速方案

HTTP 版本

1991年HTTP 0.9版，只有一个GET，而且只支持纯文本内容，早已过时就不讲了

HTTP 1.0(1996年)

• 任意数据类型都可以发送
• 有GET、POST、HEAD三种方法
• 无法复用TCP连接(长连接)
• 有丰富的请求响应头信息。以header中的Last-Modified/If-Modified-Since和Expires作为缓存标识

HTTP 1.1(1997年)

• 引入更多的请求方法类型PUT、PATCH、DELETE、OPTIONS、TRACE、CONNECT
• 引入长连接，就是TCP连接默认不关闭，可以被多个请求复用，通过请求头connection:keep-alive设置
• 引入管道连接机制，可以在同一TCP连接里，同时发送多个请求
• 强化了缓存管理和控制Cache-Control、ETag/If-None-Match
• 支持分块响应，断点续传，利于大文件传输，能过请求头中的Range实现
• 使用了虚拟网络，在一台物理服务器上可以存在多个虚拟主机，并且共享一个IP地址

缺点：主要是连接缓慢，服务器只能按顺序响应，如果某个请求花了很长时间，就会出现请求队头阻塞

虽然出了很多优化技巧：为了增加并发请求，做域名拆分、资源合并、精灵图、资源预取…等等

最终为了推进从协议上进行优化，Google跳出来，推出SPDY协议

SPDY(2009年)

SPDY（读作“SPeeDY”）是Google开发的基于TCP的会话层协议

主要通过帧、多路复用、请求优先级、HTTP报头压缩、服务器推送以最小化网络延迟，提升网络速度，优化用户的网络使用体验

原理是在SSL层上增加一个SPDY会话层，以在一个TCP连接中实现并发流。通常的HTTP GET和POST格式仍然是一样的，然而SPDY为编码和传输数据设计了一个新的帧格式。因为流是双向的，所以可以在客户端和服务端启动

虽然诞生后很快被所有主流浏览器所采用，并且服务器和代理也提供了支持，但是SPDY核心人员后来都参加到HTTP 2.0开发中去了，自HTTP2.0开发完成就不再支持SPDY协议了，并在Chrome 51中删掉了SPDY的支持

HTTP 2.0(2015年)

说出http2中至少三个新特性？

• 使用新的二进制协议，不再是纯文本，避免文本歧义，缩小了请求体积
• 多路复用，同域名下所有通信都是在单链接(双向数据流)完成，提高连接的复用率，在拥塞控制方面有更好的能力提升
• 使用HPACK算法将头部压缩，用哈夫曼编码建立索表，传送索引大大节约了带宽
• 允许服务端主动推送数据给客户端
• 增加了安全性，使用HTTP 2.0，要求必须至少TLS 1.2
• 使用虚拟的流传输消息，解决了应用层的队头阻塞问题

缺点

• TCP以及TCP+TLS建立连接的延时，HTTP2使用TCP协议来传输的，而如果使用HTTPS的话，还需要TLS协议进行安全传输，而使用TLS也需要一个握手过程，在传输数据之前，导致我们花掉3~4个RTT
• TCP的队头阻塞并没有彻底解决。在HTTP2中，多个请求跑在一个TCP管道中，但当HTTP2出现丢包时，整个TCP都要开始等待重传，那么就会阻塞该TCP连接中的所有请求.