《图解HTTP》读书笔记

一、第一章 了解Web及网络基础

　　1.HTTP历史：

　　　　1）HTTP/0.9：HTTP于1990问世，当时标准未被正式建立，所以HTTP/1.0之前的版本，统称为HTTP/0.9

　　　　2）HTTP/1.0：1996年5月公布，记录于RFC1945，沿用至今

　　　　3）HTTP/1.1：1997年1月公布，记录于RFC2616，目前主流版本

　　　　4）HTTP/2.0：正在制定中

　　　　ps.RFC(Request for Comments),征求修改意见，制定HTTP协议技术标准的文档，不含Cooike

　　2.TCP/IP协议族：互联网连接协议（protocol），子集有：HTTP、TCP、IP、FTP、PPPoE、FTP等

　　3.TCP/IP四层模型：

　　　　1）应用层：FTP、DNS、HTTP

　　　　2）传输层：TCP、UDP

　　　　3）网络层：IP

　　　　4）链路层：操作系统、硬件驱动、网卡、光纤、硬件部分

　　　　PS.经过每层时会打上该层的首部信息，接收时去除

　　4.ARP协议：HTTP在网络传输时，通过ARP协议就可以解析目标地址，但是过程无法全面掌握，通过路由选择。

　　5.三次握手：发送SYN的flag->收到请求后回传一个带有SYN/ACK的flag->最后回传一个带有ACK的flag

　　6.URL是URI的子集，URI包含：Uniform(如http:或ftp:)、Resource（可标示的任何东西）、Identifier（标识符）

 

二、简单的HTTP协议

　　1.HTTP中可以使用的方法：GET、POST、PUT、HEAD、DELETE、OPTIONS、TRACE、CONNECT

　　2.持久连接：HTTP/1.1中，所有的连接默认都是持久连接

　　3.使用Cooike的状态管理

 

三、HTTP报文内的HTTP信息

　　1.HTTP报文本身是由多行（用CR+LF作换行符\r\n）

　　2.HTTP首部内容：请求行、状态行、首部字段、其它

　　3.报文的内容编码格式有：gzip（GUN zip）、compress(UNIX系统的标准压缩)、deflate(zlib)、identity(不进行编码)

　　4.分割发送的分块传输编码：用于把实体主体分成多块发送，可以在通信时使用某种传输编码（Transfer Coding）

　　5.多部分对象集合（Multipart）：Content-Type:multipart/form-data[multipart/form-byteranges],使用boundarg字符串来划分每个部分（参见P47、P48）

　　6.获取部分内容的范围请求：Range:bytes=5001-10000，响应返回206 Partical Content的响应报文

　　7.内容协商Content Negotiation:Accept、Accept-Charset、Accept-Encoding、Accept-Language、Content-Language

 

四、返回结果的HTTP状态码

　　1.类型简介：

　　　　1XX：信息性状态码，接受的请求正在处理

　　　　2XX：成功状态码

　　　　　　204：No Content，请求处理成功，但是没有资源可返回

　　　　　　206：Partial Content,客户端进行范围请求，服务器成功执行了这部分的GET请求

　　　　3XX：重定向状态码

　　　　　　301：Move Permanently:URL已更新（永久性的），需要进行书签引用的变更

　　　　　　302：Found,和301类似，但是是临时性的，不需要对书签进行更新

　　　　　　303：See Other，使用GET方法重定向到新的URL上。即使是POST方法访问，也只使用GET方法来做重定向，是和302方法的区别

　　　　　　304：Not Modified，发送附带条件的请求时，如果发生服务器未满足条件的情况，则返回此状态

　　　　　　307：Temporary Redirect:和302类似，但是不会从POST变成GET

　　　　4XX：客户端错误状态码，服务器端无法处理请求

　　　　　　400：报文存在语法错误，服务器无法理解。浏览器会像对待200 OK一样对待该状态码

　　　　　　401：Unauthorized，需要认证

　　　　　　403：Forbidden,不允许访问资源，可以在返回主体里描述原因

　　　　　　404：Not Found,服务器资源未找到，也可以在服务器拒绝请求且不想说明原因时使用

　　　　5XX：服务器错误状态码，服务器处理请求出错

　　　　　　500： Internal Server Error:服务器在执行请求时出错了

　　　　　　503：Service  Unavailable:服务器超负荷或者在进行停机维护

 

五、与HTTP协作的WEB服务器

　　1.通信数据转发程序：

　　　　1）代理：缓存代理、透明代理（非透明代理）

　　　　2）网关：和代理类似，但是可以提供非HTTP协议服务器，如连接数据库、信用卡结算系统等

　　　　3）隧道：按要求建立一条与其他服务器的通信线路，使用SSL等加密手段

 

六、HTTP首部

　　1.HTTP首部字段类型：(书中有详细说明)

　　　　1）通用首部字段

 

　　　　2）请求首部字段

　　　　3）响应首部字段

　　　　4）实体首部字段

　　　　5）非HTTP/1.1首部字段：不在RFC2616中，而是在RFC4229中的47种首部字段，包括Cookie等

 

七、确保Web安全的HTTPS

　　1.HTTPS=HTTP+加密+认证+完整性保护

 

八、确认访问用户身份的认证

　　1.HTTP使用的认证方式：

　　　　1）BASIC认证（基本认证）

　　　　2）DIGEST认证（摘要认证）

　　　　3）SSL客户端认证

　　　　4）FormBase认证（基于表单认证）

　　2.通常，一种安全的保存密码的方式是，先给密码加盐，再使用散列（hash）函数计算出散列值后保存

 

九、基于HTTP的功能追加协议

　　1.为了消除HTTP的瓶颈，出现的解决方案：Ajax、Comet、SPDY（开发中）、WebSocket(HTML5)、HTTP/2.0（制定中）

　　2.WebDAV:是一个可对Web服务器上的内容直接进行文件复制、编辑等操作的分布式文件系统。它作为HTTP/1.1的协议定义在RFC4918中

 

十、构建Web内容的技术（略）

 

十一、Web的攻击技术

　　1.因输出值转义不完全引发的安全漏洞：

　　　　1）跨站脚本攻击（XSS）

　　　　2）SQL注入攻击

　　　　3）OS命令注入攻击

　　　　4）HTTP首部注入攻击

　　　　5）邮件首部注入攻击

　　　　6）目录遍历攻击

　　　　7）远程文件包含漏洞

　　2.因设置或设计上的缺陷引发的安全漏洞

　　　　1）强制浏览

　　　　2）不正确的错误信息处理

　　　　3）开放重定向

　　3.因会发管理疏忽引发的安全漏洞

　　　　1）会话劫持

　　　　2) 会话固定攻击　　

　　　　3）跨站点请求伪造（CSRF）

　　4.其它安全漏洞

　　　　1）密码破解

　　　　2）点击劫持

　　　　3）DoS攻击

　　　　4）后门程序