【Java面试】Https和Http的区别？以及分别的原理是什么？

HTTP与HTTPS是互联网数据传输的两种核心协议，它们在安全性、工作原理和应用场景上存在显著差异。以下从核心区别和工作原理两方面深入解析：

---

🔒 一、核心区别总结

特性	HTTP	HTTPS
安全性	明文传输，数据易被窃听或篡改	通过SSL/TLS加密传输，防止数据泄露和中间人攻击
端口号	默认80端口	默认443端口
证书要求	无需证书	需CA机构颁发的数字证书验证服务器身份
性能	响应更快（无加密开销）	因加密计算略慢，但现代硬件差距可忽略
协议层	应用层协议，直接基于TCP	HTTP + SSL/TLS安全层，再基于TCP
地址栏标识	显示http://，浏览器提示"不安全"	显示https://，带绿色锁图标

---

⚙️ 二、HTTP工作原理

HTTP（超文本传输协议）是无状态、无连接的请求-响应协议：

1. 请求阶段：
   • 客户端（如浏览器）发送HTTP请求，包含方法（GET/POST）、URL、头部信息（如User-Agent）。
   • 示例：GET /index.html HTTP/1.1。
2. 响应阶段：
   • 服务器解析请求，返回状态码（如200 OK）和响应体（如HTML内容）。
3. 连接关闭：
   • 每次请求后TCP连接关闭（早期HTTP/1.0），HTTP/1.1后支持短时连接复用。

核心缺陷：

• 数据明文传输，易被中间人窃取或篡改（如密码、银行卡号）。
• 无法验证服务器身份，可能访问钓鱼网站。

---

🔐 三、HTTPS工作原理

HTTPS = HTTP + SSL/TLS加密层，通过证书验证、密钥交换、对称加密三重机制保障安全：

1. SSL/TLS握手阶段（关键）：

   • 证书验证：服务器返回数字证书（含公钥、域名、CA签名）。浏览器验证证书有效性（是否过期、CA是否可信、域名匹配）
   • 密钥交换：客户端生成随机数（Pre-Master Secret），用服务器公钥加密后发送。服务器用私钥解密获取该随机数
   • 生成会话密钥：双方基于随机数生成对称会话密钥（如AES密钥），用于后续数据传输。

2. 加密通信阶段：

   • 使用会话密钥对HTTP数据进行对称加密传输，保证效率。
   • 通过MAC（消息认证码） 验证数据完整性，防止篡改

✅ 为何结合对称与非对称加密？

• 非对称加密（如RSA）用于安全交换密钥（防窃听）。
• 对称加密（如AES）用于高效加密大量数据。

---

🛡️ 四、HTTPS如何防止中间人攻击？

1. 证书权威性：
   • 中间人无法伪造CA签名的证书（私钥由CA保密），浏览器会警告非法证书
2. 密钥保密性：
   • 即使截获加密的随机数，中间人无服务器私钥无法解密，无法获取会话密钥
3. 数据完整性校验：
   • 每个数据包附带MAC值，篡改会导致校验失败。

⚠️ 注意：若用户主动安装抓包工具证书（如Fiddler），HTTPS仍可被解密，此时属于用户授信行为

---

💎 五、应用场景建议

• HTTP：静态内容（如新闻页）、内网服务、性能敏感且无需加密的场景
• HTTPS：登录/支付页面、API接口、用户隐私数据（如医疗记录）、SEO优化（谷歌优先收录HTTPS站点）

现代网站普遍转向HTTPS，Chrome等浏览器已将HTTP标记为“不安全”。安全性需求提升和免费证书（如Let’s Encrypt）的普及，加速了HTTPS的全面落地