HTTP和HTTPS的区别

前言：

HTTP 和 HTTPS 最核心、最根本的区别在于安全性。

简单来说：HTTPS = HTTP + SSL/TLS加密层。HTTPS 就是对 HTTP 协议进行了加密和安全认证的升级版。

核心区别总结

详细解释：

1. 安全性（最核心的区别）
HTTP（超文本传输协议）：

明文传输： 数据在浏览器和服务器之间传输时，完全不经过任何加密。就像寄送一张明信片，任何经手的人（网络运营商、黑客在公共Wi-Fi上）都可以看到上面的所有内容，包括你的密码、信用卡号、聊天记录等。

三大风险：

窃听： 第三方可以轻易截获和查看通信内容。

篡改： 第三方可以修改传输中的数据内容（例如，在网页里插入广告或恶意代码）。

冒充： 第三方可以伪装成目标网站，与你进行通信（即“中间人攻击”）。

HTTPS（超文本传输安全协议）：

加密传输： 通过 SSL/TLS 协议对传输的数据进行加密。就像寄送一个只有你和收件人才有钥匙的密码箱，即使被别人拿到，也无法知道里面的内容。

三大安全保障：

加密： 建立安全连接，混合使用对称和非对称加密算法，确保数据传输过程中的机密性，防止被窃听。

完整性： 使用摘要算法（如MD5, SHA系列）对数据生成一个“指纹”，接收方会验证这个指纹，确保数据在传输过程中没有被篡改。

身份认证： 通过 SSL证书 验证网站服务器的身份。证书由受信任的证书颁发机构（CA） 签发，确保你正在访问的是真正的目标网站，而不是一个钓鱼网站，防止被冒充。

2. 工作原理和连接过程
HTTP： 连接过程非常简单。

TCP三次握手建立连接。

发送HTTP请求。

接收HTTP响应。

关闭连接。

HTTPS： 在HTTP通信之前，增加了复杂的 SSL/TLS握手 过程。

TCP三次握手。

SSL/TLS握手（核心步骤）：

客户端Hello： 浏览器向服务器发送支持的加密协议版本、加密算法列表等。

服务器Hello： 服务器选择加密套件，并发送其SSL证书（包含公钥）给浏览器。

验证证书： 浏览器验证证书是否有效、是否由可信CA签发、是否与当前访问的域名匹配。

生成会话密钥： 浏览器用服务器的公钥加密一个随机数（Pre-master secret）发送给服务器。双方根据交换的随机数生成相同的对称加密会话密钥。

加密通信： 后续所有的HTTP请求和响应都使用这个高效的会话密钥进行对称加密解密。

发送加密的HTTP请求。

接收加密的HTTP响应。

3. 对网站的影响
SEO（搜索引擎优化）： Google等主流搜索引擎明确表示，HTTPS是搜索排名的正面因素。使用HTTPS的网站在排名上会比同等的HTTP网站更有优势。

浏览器标识：

现代浏览器（Chrome, Firefox, Edge等）会将HTTP网站标记为“不安全”，严重影响用户信任。

HTTPS网站则会显示锁形图标，点击可以查看证书详情，给予用户安全感。

性能和开销：

HTTPS： 由于增加了加密解密和握手过程，会带来额外的CPU计算开销和略微增加的延迟（RTT）。但随着硬件性能提升和TLS 1.3协议的优化（减少了握手次数），这个开销已经变得非常小，远小于其带来的安全效益。

HTTP： 没有加密开销，理论上速度更快，但极不安全。

结论
除非是完全没有敏感信息的公开只读页面（但现在这种场景也越来越少），否则所有网站都应该使用HTTPS。

它已经成为现代互联网的标准配置和基本要求，不仅是出于安全考虑，也关乎用户体验、品牌信誉和搜索引擎排名。