网络原理 – HTTP 与 HTTPS 完整对比与核心知识点
（2026年最新视角，面试/实战高频总结）
一、HTTP 与 HTTPS 核心对比表（强烈建议背诵）
| 对比项 | HTTP | HTTPS | 实际影响（2025-2026） |
|---|---|---|---|
| 全称 | HyperText Transfer Protocol | HTTP + SSL/TLS | — |
| 默认端口 | 80 | 443 | — |
| 传输层协议 | TCP | TCP | 相同 |
| 数据是否加密 | 明文传输 | 加密传输（对称+非对称混合加密） | HTTPS 完胜 |
| 数据完整性校验 | 无（容易被篡改） | 有（HMAC 或 AEAD） | HTTPS 完胜 |
| 身份认证（服务器） | 无（容易被中间人冒充） | 有（证书 + CA 信任链） | HTTPS 完胜 |
| 身份认证（客户端） | 基本没有（可通过其他方式） | 支持（双向认证，较少用） | 企业内部系统常见 |
| 首次连接速度 | 更快 | 更慢（握手多几轮） | HTTP/3 + 0-RTT 已经大幅缩小差距 |
| 现代浏览器行为 | 不安全警告、部分功能受限 | 默认安全，无警告 | 几乎所有网站强制 HTTPS |
| SEO | 排名劣势 | 有加分 | Google 长期把 HTTPS 作为排名因素 |
| 2026年主流占比 | <5%（仅内部测试、遗留系统） | >95% | 事实标准 |
二、HTTP/HTTPS 发展时间线（常考）
| 时间 | 协议版本 | 关键特性 | 现状（2026） |
|---|---|---|---|
| 1991 | HTTP/0.9 | 只支持 GET，极其原始 | 已淘汰 |
| 1996 | HTTP/1.0 | 支持多种方法、头部、状态码 | 基本淘汰 |
| 1997~1999 | HTTP/1.1 | 持久连接、Host头、分块传输、管道化 | 仍然大量存在（但被逐渐取代） |
| 2015 | HTTP/2 | 二进制分帧、多路复用、头部压缩、服务器推送 | 广泛使用 |
| 2018~2022 | HTTP/3 | 基于 UDP + QUIC，0-RTT、连接迁移、多路复用更强 | 2026年快速增长（Chrome/Edge 默认开启） |
| 2014~至今 | HTTPS 普及 | Google 强制要求、浏览器警告 | 几乎全部网站标配 |
三、HTTPS 加密核心流程（面试最爱问的图）
客户端 服务器
│ │
│─────────────── ClientHello ──────────►│
│◄────────────── ServerHello ───────────│
│◄────────────── Certificate ───────────│ ← 服务器证书（含公钥）
│◄────────────── ServerKeyExchange? ────│ （某些密钥交换算法需要）
│─────────────── ClientKeyExchange ────►│
│─────────────── ChangeCipherSpec ─────►│
│◄────────────── ChangeCipherSpec ──────│
│─────────────── Finished ─────────────►│ ← 双方验证握手完整性
│◄────────────── Finished ──────────────│
│ │
↓ ↓
加密对称密钥协商完成，开始加密通信现代主流密钥交换方式（2026）对比：
| 方式 | 安全性 | 前向安全性（PFS） | 性能 | 2026主流程度 |
|---|---|---|---|---|
| RSA | 较弱（无PFS） | × | 较高 | 基本淘汰 |
| DHE | 好 | ○ | 一般 | 少用 |
| ECDHE（推荐） | 优秀 | ○ | 优秀 | 绝对主流 |
| TLS 1.3 强制 ECDHE | 极好 | ○ | 最佳 | 2026年事实标准 |
四、2026年最常被问到的几个核心问题答案
- HTTPS 一定比 HTTP 安全吗？
理论上是，但实际取决于：
- 证书是否可信
- 是否开启 HSTS
- 是否正确配置了强密码套件
- 是否防止了降级攻击
- 为什么 HTTPS 第一次连接明显慢？
- TCP 三次握手
- TLS 1.2 需要 2-RTT，TLS 1.3 1-RTT
- 证书验证（可能要查 CRL/OCSP）
- 密钥交换计算开销
- HTTP/3 为什么不需要 HTTPS 单独谈？
HTTP/3 本身就强制要求加密（基于 QUIC，而 QUIC 内置 TLS 1.3），所以“HTTP/3 = HTTPS/3” - 现代网站最推荐的 HTTPS 配置（2026）？
- TLS 1.3 only（禁用 1.2 及以下）
- 优先 ECDHE + AES-GCM
- 开启 HSTS + preload
- 证书使用 ECDSA（比 RSA 更快更安全）
- OCSP Stapling 或必须禁用 OCSP（改用 CRLite）
五、快速记忆口诀
HTTP：明文、80、不安全、老古董
HTTPS：加密、443、证书、TLS握手、现代标配
HTTP/1.1 → 持久连接
HTTP/2 → 多路复用 + 头部压缩
HTTP/3 → QUIC + UDP + 0-RTT想继续深入哪个方向？
- TLS 1.3 与 TLS 1.2 详细握手对比
- QUIC 与 TCP 的核心差异（HTTP/3 原理）
- 常见 HTTPS 攻击与防御（中间人、降级、证书吊销等）
- HSTS、HPKP、CAA、证书透明度 等现代安全机制
- Nginx/Cloudflare 2026年推荐的 HTTPS 配置模板
告诉我你的需求，我继续带你深入～
