【Linux】应用层协议：HTTP 详解
HTTP（HyperText Transfer Protocol）是目前互联网上使用最广泛的应用层协议，主要用于 Web 浏览器与 Web 服务器之间的数据通信。它运行在 TCP 之上，属于应用层协议。
下面从 Linux 视角，把 HTTP 协议的核心知识点、常见实现、抓包观察、性能调优等内容做一个系统梳理。
1. HTTP 协议版本对比（2025–2026 视角）
| 版本 | 发布年份 | 连接方式 | 头部压缩 | 多路复用 | 服务器推送 | 二进制帧 | 主流使用场景 | Linux 典型服务器支持情况 |
|---|---|---|---|---|---|---|---|---|
| HTTP/1.0 | 1996 | 短连接 | 无 | 无 | 无 | 否 | 几乎淘汰 | 全部支持（但基本没人用了） |
| HTTP/1.1 | 1997 | 支持持久连接 | 无 | 无 | 无 | 否 | 目前仍然占主流（~40–60%） | Nginx/Apache/OpenLiteSpeed 全支持 |
| HTTP/2 | 2015 | 长连接 | HPACK | 有 | 有 | 是 | 大中型网站主流（~50%+） | Nginx 1.9.5+、Apache 2.4.17+ |
| HTTP/3 | 2022 | 长连接（QUIC） | QPACK | 有 | 有 | 是 | 增长最快（2025年底约 35–45%） | Nginx 1.25+ + quiche、Caddy 2、Envoy |
Linux 运维最常面对的现状（2025–2026）：
- 仍然有大量 HTTP/1.1 流量（尤其内网、老系统、API）
- 前端 + CDN 基本都开启了 HTTP/2
- 头部大厂、视频、游戏、实时类业务大量迁移到 HTTP/3（基于 UDP 的 QUIC）
2. HTTP/1.1 最核心的几个特性（必须记住）
- 请求-响应模型：一问一答
- 持久连接（Keep-Alive）：Connection: keep-alive（默认开启）
- 管线化（Pipelining）：支持在同一个 TCP 连接上连续发多个请求（但响应必须按序返回）
- 实际使用率很低（因为队头阻塞）
- Host 头必传（虚拟主机依赖）
- 常见方法：GET / POST / HEAD / PUT / DELETE / PATCH / OPTIONS
- 常见状态码：
- 200 OK
- 301 永久重定向
- 302 临时重定向
- 304 Not Modified（缓存命中）
- 400 Bad Request
- 403 Forbidden
- 404 Not Found
- 429 Too Many Requests
- 502 Bad Gateway
- 504 Gateway Timeout
3. 在 Linux 上观察 HTTP 流量的常用命令
# 1. 最简单抓包（看明文 HTTP/1.1）
sudo tcpdump -i any -s0 -w - port 80 | tcpdump -r - -A | less
# 2. 只看请求头 + 响应头（过滤 Host 和 User-Agent）
sudo tcpdump -i any -A 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
# 3. 用 Wireshark 过滤（图形化最推荐）
http.request or http.response
# 4. 统计某个域名访问量（需要先抓包保存为 pcap）
tshark -r capture.pcap -Y "http.host contains \"example.com\"" -T fields -e http.host | sort | uniq -c | sort -nr
# 5. 实时查看 Nginx/Apache 的访问日志（最常用）
tail -f /var/log/nginx/access.log | grep -E "GET /api|POST /order"
# 6. 查看当前连接数（HTTP/1.1 长连接特别有用）
ss -ant '( dport = :80 or dport = :443 )' | wc -l4. HTTP/2 & HTTP/3 在 Linux 上的关键变化
HTTP/2 特点（Linux 运维关注点）
- 多路复用 → 一个 TCP 连接可以并发很多流
- 头部压缩（HPACK）→ 显著减少重复头部的带宽
- 服务器推送（Server Push）→ 可以主动推送 CSS/JS（现在用得少了，被 preload 取代）
- Linux 表现：连接数显著下降，但单个连接的内存和 CPU 消耗略高
HTTP/3（QUIC）关键点
- 基于 UDP（端口通常还是 443）
- 0-RTT 握手（首次连接后可立即发数据）
- 内置 TLS 1.3 + 多路复用 + 连接迁移（IP 变化不断连）
- Linux 内核要求：5.6+ 推荐开启 UDP GSO/GSR
- 常用服务器：
- Nginx + quiche 库（主流）
- Caddy 2（内置 HTTP/3，最简单）
- Envoy（服务网格常用）
5. Linux 上常见的 HTTP 相关性能调优点
| 项目 | 建议设置（Nginx 示例） | 适用场景 | 注意事项 |
|---|---|---|---|
| keepalive_timeout | 65s 或 15s | 长连接复用 | 太长 → 占用 fd，太短 → 增加握手开销 |
| keepalive_requests | 100–1000 | 同上 | 根据业务请求频率调整 |
| worker_connections | 1024–4096 / worker（视内存） | 高并发 | 受系统 ulimit 和 /proc/sys/fs/file-max 限制 |
| sendfile | on | 静态文件 | 配合 tcp_nopush / tcp_nodelay |
| tcp_nodelay | on | 小包频繁交互（API） | 会增加包数量，带宽敏感场景慎用 |
| gzip / brotli | on（brotli 优先级更高） | 文本内容压缩 | CPU 换带宽，动态内容慎开 |
| http2 | listen 443 ssl http2; | 开启 HTTP/2 | 需要 SSL |
| listen 443 quic reuseport; | 开启 HTTP/3（Nginx 1.25+） | 低延迟场景 | 需要内核支持 UDP GSO |
6. 抓包实战快速口诀（最常用场景）
- 只看 HTTP 请求头：
tcp.port == 80 && http.request - 只看响应头：
tcp.port == 80 && http.response - 看 POST 的 body：
http.request.method == "POST" && http contains "password" - 看某个域名的全部流量：
http.host contains "api.example.com" - 看 404 错误：
http.response.code == 404
总结一句话
在 Linux 上，HTTP/1.1 仍然是理解和调试的基础，HTTP/2 是当前主流，HTTP/3 是性能和移动端趋势。
运维最常做的事就是：
- 通过日志 / tcpdump / Wireshark 看明文 HTTP/1.1
- 通过 Nginx/Envoy 日志 + qlog（QUIC 日志）看 HTTP/2 和 HTTP/3
- 通过连接数、慢请求、QPS、错误码来判断瓶颈
有哪个具体方向你想深入？
- HTTP/2 帧结构详解 + Wireshark 实战
- HTTP/3 QUIC 握手过程图解
- Nginx 配置 HTTP/3 的完整步骤
- 常见 502/504/超时 排查流程
- 如何在 Linux 上压测 HTTP/1.1 vs HTTP/2 vs HTTP/3
随时告诉我～
