HTTP与HTTPS基础概念

HTTP（HyperText Transfer Protocol）是用于传输超文本的应用层协议，基于TCP/IP通信标准，默认端口为80。数据以明文传输，存在被窃听或篡改的风险。

HTTPS（HTTP Secure）是HTTP的安全版本，通过SSL/TLS协议对传输内容加密，默认端口为443。加密过程包含对称加密（如AES）和非对称加密（如RSA），确保数据机密性和完整性。

CA证书核心作用

CA（Certificate Authority）是数字证书颁发机构，负责验证服务器身份并签发公钥证书。证书包含域名、公钥、有效期及CA签名。浏览器内置信任的CA根证书列表，通过证书链验证机制确认服务器证书合法性。

URL标准格式示例

基础HTTP URL格式：

http://example.com:80/path/to/resource?key1=value1&key2=value2#fragment

启用HTTPS的安全URL格式：

https://example.com:443/api/data?id=123&sort=desc

证书验证流程

1. 客户端发送HTTPS请求并接收服务器证书
2. 校验证书有效期、域名匹配及吊销状态（CRL/OCSP）
3. 使用CA公钥验证证书签名真实性
4. 完成握手后建立加密通道

开发注意事项

• 敏感接口强制使用HTTPS
• 避免混合内容（HTTP页面加载HTTPS资源）
• 设置HSTS响应头减少协议降级攻击
• 定期更新服务器证书及中间证书

调试工具推荐

• Chrome开发者工具Security面板查看证书详情
• OpenSSL命令行验证证书链：

  openssl s_client -connect example.com:443 -showcerts
  

• Qualys SSL Labs在线测试服务器配置

通过理解协议差异、加密原理及证书体系，可有效提升Web应用的安全性设计能力。实际开发中应严格遵循RFC标准，避免自定义不安全协议实现。