HTTP和 HTTPS是用于在网络中传输数据的协议，虽然它们的功能类似，但在安全性上存在显著差异。
1. HTTP 的基本概念
- 定义：HTTP 是一种无状态的、面向请求-响应的协议，用于客户端（如浏览器）和服务器之间传输超文本数据（HTML、CSS、JavaScript等）。
- 工作原理：客户端向服务器发送请求，服务器处理后返回相应的资源。
- 端口号：HTTP 默认使用 80 端口。
- 不安全性：HTTP 的数据传输是明文的，任何中间节点（如路由器）都能截取和篡改数据。这种不安全性使得HTTP不适合传输敏感信息。
2. HTTPS 的基本概念
- 定义：HTTPS 是在 HTTP 基础上加入了 SSL/TLS 加密层，确保数据传输的安全性。
- 工作原理：HTTPS 通过 SSL/TLS 协议进行加密，保证客户端和服务器之间的通信被加密并认证。数据在传输过程中即使被截获，也无法解读。
- 端口号：HTTPS 默认使用 443 端口。
- 安全性：
- 加密：所有数据在传输过程中被加密，防止被第三方窃听。
- 数据完整性：通过消息摘要和签名技术，确保数据在传输过程中未被篡改。
- 身份认证：通过数字证书（由可信的CA机构颁发），客户端可以验证服务器的真实性，防止“中间人攻击”。
3. 主要区别
- 加密机制：HTTP 是明文传输，HTTPS 通过 SSL/TLS 加密数据，保障数据安全。
- 端口：HTTP 使用端口 80，HTTPS 使用端口 443。
- 安全性：HTTP 不提供任何数据加密或安全性，适合传输非敏感信息；HTTPS 通过加密和身份认证，确保数据的机密性和完整性。
- 性能：HTTPS 因为需要建立加密连接（握手过程），性能稍逊于 HTTP，但随着硬件和算法的优化，性能差距越来越小。
4. SSL/TLS 握手过程（HTTPS的核心）
- 客户端请求：客户端向服务器发送 HTTPS 请求，服务器返回其数字证书。
- 服务器证书验证：客户端验证证书是否由可信的证书颁发机构（CA）签署，且证书是否仍然有效。
- 密钥交换：客户端和服务器协商使用对称密钥进行加密，客户端生成一个对称密钥并通过服务器的公钥加密后发送给服务器。
- 建立加密通道：服务器使用私钥解密后，双方就可以使用对称密钥进行加密通信。
5. 应用场景
- HTTP：适合用于不涉及敏感数据的公共信息传输，如新闻、博客等。
- HTTPS：适用于所有需要安全传输的场景，如电商支付、个人信息传输、登录验证等。
6. HTTPS的优势
- 防止窃听：第三方无法窃取传输中的敏感信息。
- 防止篡改：数据在传输过程中无法被中间人篡改。
- 身份认证：确保客户端访问的是合法的服务器，防止钓鱼网站或中间人攻击。
7. 迁移到 HTTPS 的原因
- 安全性要求：随着网络安全意识的提高，越来越多的网站逐渐迁移到 HTTPS 以保护用户隐私。
- 搜索引擎优化（SEO）：搜索引擎如 Google 优先展示使用 HTTPS 的网站，HTTPS 站点的搜索排名更高。
- 浏览器标识：大多数现代浏览器会对不使用 HTTPS 的网站进行标记，提示用户该站点不安全。
8. SSL证书类型
- 域名验证 (DV)：仅验证域名的所有权。
- 组织验证 (OV)：验证域名和组织的身份信息。
- 扩展验证 (EV)：提供最高级别的验证，浏览器地址栏显示绿色锁标志和公司名称。