HTTP/HTTPS 协议深度解析（2026 年视角）
HTTP（HyperText Transfer Protocol）和 HTTPS（HyperText Transfer Protocol Secure）是 Web 通信的核心协议。2026 年，几乎所有主流网站都已经强制或默认使用 HTTPS，浏览器对纯 HTTP 站点给出明显的“不安全”警告，搜索引擎也把 HTTPS 作为排名信号之一。
下面从基础概念 → 版本演进 → HTTPS 加密机制 → TLS 1.3 握手细节 → 性能/安全对比 → 实际场景一步步拆解。
1. HTTP vs HTTPS 核心区别（一句话总结）
| 维度 | HTTP | HTTPS |
|---|---|---|
| 全称 | HyperText Transfer Protocol | HyperText Transfer Protocol Secure |
| 端口默认 | 80 | 443 |
| 数据是否加密 | 明文（任何人中间都能看到） | 加密（TLS/SSL 层保护） |
| 身份验证 | 无（无法确认服务器真实性） | 有（证书验证服务器身份） |
| 数据完整性 | 无保护（可被篡改） | 有（MAC/ AEAD 校验） |
| URL 前缀 | http:// | https:// |
| 2026 年浏览器表现 | 不安全警告 + 锁图标缺失 | 绿色锁图标（部分浏览器已移除显式锁） |
| SEO / 排名影响 | 明显劣势 | 加分项 |
| 典型中间人攻击风险 | 极高（嗅探、篡改、会话劫持） | 极低（除非证书被伪造或信任链被攻破） |
一句话：HTTPS = HTTP + TLS（加密 + 身份验证 + 完整性保护）
2. HTTP 版本演进对比（2026 年主流状态）
| 版本 | 发布年份 | 传输层 | 关键特性 | 头部压缩 | 多路复用 | Head-of-Line Blocking | 2026 年使用率（大致） | 备注 |
|---|---|---|---|---|---|---|---|---|
| HTTP/0.9 | 1991 | TCP | 只支持 GET，最原始版本 | 无 | 无 | 是 | 几乎为 0 | 历史文物 |
| HTTP/1.0 | 1996 | TCP | 支持更多方法、头部、状态码 | 无 | 无 | 是 | <1% | 基本淘汰 |
| HTTP/1.1 | 1997 | TCP | 持久连接（Keep-Alive）、Host 头、管道化（pipelining） | 无 | 有限（管道化不实用） | 是（严重） | ~20–30% | 仍然大量存在（遗留系统） |
| HTTP/2 | 2015 | TCP | 二进制分帧、多路复用、头部压缩（HPACK）、服务器推送 | 有 | 是 | 队头阻塞（TCP 层） | ~45–55% | 当前最广泛现代版本 |
| HTTP/3 | 2022 | QUIC（UDP） | QUIC 取代 TCP、多路复用无队头阻塞、0-RTT 恢复、加密头部 | 有（QPACK） | 是 | 几乎无 | ~25–35%（快速增长） | 移动网络 + 高延迟场景王者 |
2026 年现实：
- HTTP/1.1 还在大量遗留系统、企业内网、IoT 设备中使用
- HTTP/2 是大多数 CDN 和现代网站的默认
- HTTP/3（基于 QUIC）在 Chrome、Cloudflare、YouTube、Google 服务中占比已超过 30%，移动端和高丢包网络表现显著优于 HTTP/2
3. HTTPS 的加密核心：TLS（重点：TLS 1.3）
HTTPS 的“S”来自于 TLS（Transport Layer Security），前身是 SSL（现在基本废弃）。
TLS 1.3（2018 年标准化，2026 年已成为绝对主流） 是当前最安全的版本，几乎所有现代浏览器和服务器都禁用或强烈不推荐 TLS 1.0/1.1/1.2。
TLS 1.3 握手流程（1-RTT 主流情况）
客户端 服务器
│ │
│ ClientHello │
│ + key_share (支持的密钥交换参数) │
│ + supported_versions (1.3) │
│ + signature_algorithms │
│ + ... │
│----------------------------------------->│
│ │ ServerHello
│ │ + key_share
│ │ + selected cipher suite
│ │ EncryptedExtensions
│ │ Certificate
│ │ CertificateVerify
│ │ Finished
│<-----------------------------------------│
│ Finished │
│----------------------------------------->│
│ │ Application Data...关键变化与 TLS 1.2 对比：
- 1-RTT（大多数情况） vs TLS 1.2 的 2-RTT
- 握手消息几乎全部加密（除了 ClientHello/ServerHello）
- 删除了大量不安全特性：RSA 密钥交换、SHA-1、CBC 模式、静态 RSA 等
- 支持 0-RTT（早期数据），但有重放风险，慎用
- 强制前向保密（PFS）——即使服务器私钥泄露，历史会话也无法解密
密码套件示例（TLS 1.3 常用）：
- TLS_AES_256_GCM_SHA384
- TLS_CHACHA20_POLY1305_SHA256
- TLS_AES_128_GCM_SHA256
4. 实际场景对比（2026 年视角）
| 场景 | HTTP 后果 | HTTPS + TLS 1.3 优势 |
|---|---|---|
| 登录表单提交 | 明文传输用户名/密码 | 加密 + 前向保密 |
| Cookie / Session | 易被窃取（中间人攻击） | Secure + HttpOnly + SameSite 属性保护 |
| 公共 Wi-Fi | 全部数据可被嗅探 | 几乎无风险（除非证书被伪造） |
| SEO / 浏览器体验 | 不安全警告、排名降低 | 绿色锁、排名加分、HTTP/3 加速 |
| 移动网络（高丢包/切换） | HTTP/2 队头阻塞严重 | HTTP/3 (QUIC) 恢复快、多路复用无 HoL |
| 企业内网 / IoT | 部分场景仍允许 HTTP | 强制 HTTPS + mTLS（双向认证）越来越普遍 |
5. 快速记忆要点（面试/开发常用）
- HTTP/1.1 的最大问题是队头阻塞（Head-of-Line Blocking）。
- HTTP/2 用多路复用解决，但 TCP 层仍有队头阻塞。
- HTTP/3 用 QUIC（基于 UDP）彻底解决队头阻塞 + 快速握手 + 连接迁移。
- HTTPS 的本质是 HTTP over TLS。
- TLS 1.3 把握手从 2-RTT 优化到 1-RTT，大幅降低首次加载延迟。
- 现代网站必须同时支持 HTTP/2 + HTTP/3 + TLS 1.3（ALPN 协商）。
如果你想深入某个部分（例如 QUIC 握手细节、TLS 1.3 0-RTT 风险、HTTP/3 在移动端的真实收益、证书链验证流程等），可以直接告诉我，我们继续展开～
