工作流程

一次HTTP操作稱為一個(gè)事務(wù)封豪，其工作過程可分為四步：

1）首先客戶機(jī)與服務(wù)器需要建立連接。只要單擊某個(gè)超級(jí)鏈接朽寞，HTTP的工作開始识窿。

2）建立連接后，客戶機(jī)發(fā)送一個(gè)請(qǐng)求給服務(wù)器愁憔，請(qǐng)求方式的格式為：統(tǒng)一資源標(biāo)識(shí)符（URL）腕扶、協(xié)議版本號(hào)，后邊是MIME信息包括請(qǐng)求修飾符吨掌、客戶機(jī)信息和可能的內(nèi)容。

3）服務(wù)器接到請(qǐng)求后脓恕，給予相應(yīng)的響應(yīng)信息膜宋，其格式為一個(gè)狀態(tài)行，包括信息的協(xié)議版本號(hào)炼幔、一個(gè)成功或錯(cuò)誤的代碼秋茫，后邊是MIME信息包括服務(wù)器信息、實(shí)體信息和可能的內(nèi)容乃秀。

4）客戶端接收服務(wù)器所返回的信息通過瀏覽器顯示在用戶的顯示屏上肛著，然后客戶機(jī)與服務(wù)器斷開連接。

如果在以上過程中的某一步出現(xiàn)錯(cuò)誤跺讯，那么產(chǎn)生錯(cuò)誤的信息將返回到客戶端枢贿，有顯示屏輸出。對(duì)于用戶來說刀脏，這些過程是由HTTP自己完成的局荚，用戶只要用鼠標(biāo)點(diǎn)擊，等待信息顯示就可以了。

頭域

每個(gè)頭域由一個(gè)域名耀态，冒號(hào)（:）和域值三部分組成轮傍。域名是大小寫無關(guān)的，域值前可以添加任何數(shù)量的空格符首装，頭域可以被擴(kuò)展為多行创夜，在每行開始處，使用至少一個(gè)空格或制表符仙逻。

1驰吓、請(qǐng)求信息：

發(fā)出的請(qǐng)求信息格式如下：●請(qǐng)求行，例如GET /images/logo.gif HTTP/1.1桨醋，表示從/images目錄下請(qǐng)求logo.gif這個(gè)文件棚瘟。●（請(qǐng)求）頭喜最，例如Accept-Language: en●空行●可選的消息體　請(qǐng)求行和標(biāo)題必須以作為結(jié)尾（也就是偎蘸，回車然后換行）∷材冢空行內(nèi)必須只有而無其他空格迷雪。在HTTP/1.1協(xié)議中，所有的請(qǐng)求頭虫蝶，除post外章咧，都是可選的。

三個(gè)部分分別是：請(qǐng)求行能真、消息報(bào)頭赁严、請(qǐng)求正文。

2粉铐、請(qǐng)求方法

HTTP/1.1協(xié)議中共定義了八種方法（有時(shí)也叫“動(dòng)作”）來表明Request-URI指定的資源的不同操作方式：

OPTIONS - 返回服務(wù)器針對(duì)特定資源所支持的HTTP請(qǐng)求方法疼约。也可以利用向Web服務(wù)器發(fā)送'*'的請(qǐng)求來測(cè)試服務(wù)器的功能性。

HEAD- 向服務(wù)器索要與GET請(qǐng)求相一致的響應(yīng)蝙泼，只不過響應(yīng)體將不會(huì)被返回程剥。這一方法可以在不必傳輸整個(gè)響應(yīng)內(nèi)容的情況下，就可以獲取包含在響應(yīng)消息頭中的元信息汤踏。該方法常用于測(cè)試超鏈接的有效性织鲸，是否可以訪問，以及最近是否更新溪胶。

GET - 向特定的資源發(fā)出請(qǐng)求搂擦。注意：GET方法不應(yīng)當(dāng)被用于產(chǎn)生“副作用”的操作中，例如在web app.中载荔。其中一個(gè)原因是GET可能會(huì)被網(wǎng)絡(luò)蜘蛛等隨意訪問盾饮。

POST - 向指定資源提交數(shù)據(jù)進(jìn)行處理請(qǐng)求（例如提交表單或者上傳文件）。數(shù)據(jù)被包含在請(qǐng)求體中。POST請(qǐng)求可能會(huì)導(dǎo)致新的資源的建立和/或已有資源的修改丘损。

PUT - 向指定資源位置上傳其最新內(nèi)容普办。

DELETE - 請(qǐng)求服務(wù)器刪除Request-URI所標(biāo)識(shí)的資源。

TRACE- 回顯服務(wù)器收到的請(qǐng)求徘钥，主要用于測(cè)試或診斷衔蹲。

CONNECT - HTTP/1.1協(xié)議中預(yù)留給能夠?qū)⑦B接改為管道方式的代理服務(wù)器。

PATCH - 用來將局部修改應(yīng)用于某一資源呈础，添加于規(guī)范RFC5789舆驶。

方法名稱是區(qū)分大小寫的。當(dāng)某個(gè)請(qǐng)求所針對(duì)的資源不支持對(duì)應(yīng)的請(qǐng)求方法的時(shí)候而钞，服務(wù)器應(yīng)當(dāng)返回狀態(tài)碼405（Method Not Allowed）沙廉；當(dāng)服務(wù)器不認(rèn)識(shí)或者不支持對(duì)應(yīng)的請(qǐng)求方法的時(shí)候，應(yīng)當(dāng)返回狀態(tài)碼501（Not Implemented）臼节。

HTTP服務(wù)器至少應(yīng)該實(shí)現(xiàn)GET和HEAD方法撬陵，其他方法都是可選的。此外网缝，除了上述方法巨税，特定的HTTP服務(wù)器還能夠擴(kuò)展自定義的方法。

3粉臊、響應(yīng)消息

客戶端向服務(wù)器發(fā)送一個(gè)請(qǐng)求草添，服務(wù)器以一個(gè)狀態(tài)行作為響應(yīng)，響應(yīng)的內(nèi)容包括：消息協(xié)議的版本扼仲、成功或者錯(cuò)誤編碼远寸、服務(wù)器信息、實(shí)體元信息以及必要的實(shí)體內(nèi)容屠凶。根據(jù)響應(yīng)類別的類別而晒，服務(wù)器響應(yīng)里可以含實(shí)體內(nèi)容，但不是所有的響應(yīng)都有實(shí)體內(nèi)容阅畴。

響應(yīng)頭第一行也稱為狀態(tài)行，格式如下（下圖中紅線標(biāo)出的那行）：

HTTP-Version 空格 Status-Code 空格 Reason-Phrase CRLF

HTTP- Version表示HTTP版本迅耘，例如為HTTP/1.1贱枣。Status- Code是結(jié)果代碼，用三個(gè)數(shù)字表示颤专。Reason-Phrase是個(gè)簡單的文本描述纽哥，解釋Status-Code的具體原因。Status-Code用于機(jī)器自動(dòng)識(shí)別栖秕，Reason-Phrase用于人工理解春塌。Status-Code的第一個(gè)數(shù)字代表響應(yīng)類別，可能取5個(gè)不同的值。后兩個(gè)數(shù)字沒有分類作用只壳。Status-Code的第一個(gè)數(shù)字代表響應(yīng)的類別俏拱，后續(xù)兩位描述在該類響應(yīng)下發(fā)生的具體狀況，具體請(qǐng)參見：HTTP狀態(tài)碼 吼句。

三個(gè)部分分別是：狀態(tài)行锅必、消息報(bào)頭、響應(yīng)正文惕艳。

無論你何時(shí)瀏覽一個(gè)網(wǎng)頁搞隐，你的電腦都會(huì)通過一個(gè)使用HTTP協(xié)議的服務(wù)器來獲取所請(qǐng)求的數(shù)據(jù)。在你請(qǐng)求的網(wǎng)頁顯示在瀏覽器之前远搪，支配網(wǎng)頁的網(wǎng)站服務(wù)器會(huì)返回一個(gè)包含有狀態(tài)碼的HTTP頭文件劣纲。這個(gè)狀態(tài)碼提供了有關(guān)所請(qǐng)求網(wǎng)頁的相關(guān)條件信息。如果一切正常谁鳍，一個(gè)標(biāo)準(zhǔn)網(wǎng)頁會(huì)收到一條諸如200的狀態(tài)碼癞季。當(dāng)然我們的目的不是去研究200響應(yīng)碼，而是去探討那些代表出現(xiàn)錯(cuò)誤信息的服務(wù)器頭文件響應(yīng)碼棠耕，例如表示“未找到指定網(wǎng)頁”的404碼余佛。

4、響應(yīng)頭域

服務(wù)器需要傳遞許多附加信息窍荧，這些信息不能全放在狀態(tài)行里辉巡。因此，需要另行定義響應(yīng)頭域蕊退，用來描述這些附加信息郊楣。響應(yīng)頭域主要描述服務(wù)器的信息和Request-URI的信息。

5瓤荔、HTTP常見的請(qǐng)求頭（在HTTP/1.1 協(xié)議中净蚤，所有的請(qǐng)求頭，除Host外输硝，都是可選的）

If-Modified-Since：把瀏覽器端緩存頁面的最后修改時(shí)間發(fā)送到服務(wù)器去今瀑，服務(wù)器會(huì)把這個(gè)時(shí)間與服務(wù)器上實(shí)際文件的最后修改時(shí)間進(jìn)行對(duì)比。如果時(shí)間一致点把，那么返回304橘荠，客戶端就直接使用本地緩存文件。如果時(shí)間不一致郎逃，就會(huì)返回200和新的文件內(nèi)容哥童。客戶端接到之后褒翰，會(huì)丟棄舊文件贮懈，把新文件緩存起來匀泊，并顯示在瀏覽器中。

例如：If-Modified-Since: Thu, 09 Feb 2012 09:07:57 GMT

If-None-Match：If-None-Match和ETag一起工作朵你，工作原理是在HTTP Response中添加ETag信息各聘。 當(dāng)用戶再次請(qǐng)求該資源時(shí)，將在HTTP Request 中加入If-None-Match信息(ETag的值)撬呢。如果服務(wù)器驗(yàn)證資源的ETag沒有改變（該資源沒有更新）伦吠，將返回一個(gè)304狀態(tài)告訴客戶端使用本地緩存文件。否則將返回200狀態(tài)和新的資源和Etag.? 使用這樣的機(jī)制將提高網(wǎng)站的性能魂拦。例如: If-None-Match: "03f2b33c0bfcc1:0"毛仪。

Pragma：指定“no-cache”值表示服務(wù)器必須返回一個(gè)刷新后的文檔，即使它是代理服務(wù)器而且已經(jīng)有了頁面的本地拷貝芯勘；在HTTP/1.1版本中箱靴，它和Cache-Control:no-cache作用一模一樣。Pargma只有一個(gè)用法荷愕， 例如： Pragma: no-cache

注意: 在HTTP/1.0版本中衡怀，只實(shí)現(xiàn)了Pragema:no-cache, 沒有實(shí)現(xiàn)Cache-Control

Cache-Control：指定請(qǐng)求和響應(yīng)遵循的緩存機(jī)制。緩存指令是單向的（響應(yīng)中出現(xiàn)的緩存指令在請(qǐng)求中未必會(huì)出現(xiàn)）安疗，且是獨(dú)立的（在請(qǐng)求消息或響應(yīng)消息中設(shè)置Cache-Control并不會(huì)修改另一個(gè)消息處理過程中的緩存處理過程）抛杨。請(qǐng)求時(shí)的緩存指令包括no-cache妄均、no-store剂癌、max-age、max-stale十嘿、min-fresh玉罐、only-if-cached屈嗤，響應(yīng)消息中的指令包括public、private吊输、no-cache饶号、no-store、no-transform季蚂、must-revalidate茫船、proxy-revalidate、max-age扭屁、s-maxage透硝。

Cache-Control:Public 可以被任何緩存所緩存

Cache-Control:Private 內(nèi)容只緩存到私有緩存中

Cache-Control:no-cache 所有內(nèi)容都不會(huì)被緩存

Cache-Control:no-store 用于防止重要的信息被無意的發(fā)布。在請(qǐng)求消息中發(fā)送將使得請(qǐng)求和響應(yīng)消息都不使用緩存疯搅。

Cache-Control:max-age 指示客戶機(jī)可以接收生存期不大于指定時(shí)間（以秒為單位）的響應(yīng)。

Cache-Control:min-fresh 指示客戶機(jī)可以接收響應(yīng)時(shí)間小于當(dāng)前時(shí)間加上指定時(shí)間的響應(yīng)埋泵。

Cache-Control:max-stale 指示客戶機(jī)可以接收超出超時(shí)期間的響應(yīng)消息幔欧。如果指定max-stale消息的值罪治，那么客戶機(jī)可以接收超出超時(shí)期指定值之內(nèi)的響應(yīng)消息。

Accept：瀏覽器端可以接受的MIME類型礁蔗。例如：Accept: text/html 代表瀏覽器可以接受服務(wù)器回發(fā)的類型為 text/html 也就是我們常說的html文檔觉义，如果服務(wù)器無法返回text/html類型的數(shù)據(jù)，服務(wù)器應(yīng)該返回一個(gè)406錯(cuò)誤(non acceptable)浴井。通配符 * 代表任意類型晒骇，例如 Accept: */* 代表瀏覽器可以處理所有類型，(一般瀏覽器發(fā)給服務(wù)器都是發(fā)這個(gè))磺浙。

Accept-Encoding：瀏覽器申明自己可接收的編碼方法洪囤，通常指定壓縮方法，是否支持壓縮撕氧，支持什么壓縮方法（gzip瘤缩，deflate）;Servlet能夠向支持gzip的瀏覽器返回經(jīng)gzip編碼的HTML頁面。許多情形下這可以減少5到10倍的下載時(shí)間伦泥。例如： Accept-Encoding: gzip, deflate剥啤。如果請(qǐng)求消息中沒有設(shè)置這個(gè)域，服務(wù)器假定客戶端對(duì)各種內(nèi)容編碼都可以接受不脯。

Accept-Language：瀏覽器申明自己接收的語言府怯。語言跟字符集的區(qū)別：中文是語言，中文有多種字符集防楷，比如big5牺丙，gb2312，gbk等等域帐；例如：Accept-Language: en-us赘被。如果請(qǐng)求消息中沒有設(shè)置這個(gè)報(bào)頭域，服務(wù)器假定客戶端對(duì)各種語言都可以接受肖揣。

Accept-Charset：瀏覽器可接受的字符集民假。如果在請(qǐng)求消息中沒有設(shè)置這個(gè)域，缺省表示任何字符集都可以接受龙优。

User-Agent：告訴HTTP服務(wù)器羊异，客戶端使用的操作系統(tǒng)和瀏覽器的名稱和版本。

例如： User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; CIBA; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; InfoPath.2; .NET4.0E)彤断。

Content-Type：例如：Content-Type: application/x-www-form-urlencoded野舶。

Referer：包含一個(gè)URL，用戶從該URL代表的頁面出發(fā)訪問當(dāng)前請(qǐng)求的頁面宰衙。提供了Request的上下文信息的服務(wù)器平道，告訴服務(wù)器我是從哪個(gè)鏈接過來的，比如從我主頁上鏈接到一個(gè)朋友那里供炼，他的服務(wù)器就能夠從HTTP Referer中統(tǒng)計(jì)出每天有多少用戶點(diǎn)擊我主頁上的鏈接訪問他的網(wǎng)站一屋。

例如: Referer:http://translate.google.cn/?hl=zh-cn&tab=wT

Connection：

例如：Connection: keep-alive 當(dāng)一個(gè)網(wǎng)頁打開完成后窘疮，客戶端和服務(wù)器之間用于傳輸HTTP數(shù)據(jù)的TCP連接不會(huì)關(guān)閉，如果客戶端再次訪問這個(gè)服務(wù)器上的網(wǎng)頁冀墨，會(huì)繼續(xù)使用這一條已經(jīng)建立的連接闸衫。HTTP 1.1默認(rèn)進(jìn)行持久連接。利用持久連接的優(yōu)點(diǎn)诽嘉，當(dāng)頁面包含多個(gè)元素時(shí)（例如Applet蔚出，圖片），顯著地減少下載所需要的時(shí)間虫腋。要實(shí)現(xiàn)這一點(diǎn)骄酗，Servlet需要在應(yīng)答中發(fā)送一個(gè)Content-Length頭，最簡單的實(shí)現(xiàn)方法是：先把內(nèi)容寫入ByteArrayOutputStream岔乔，然后在正式寫出內(nèi)容之前計(jì)算它的大小酥筝。

Connection: close 代表一個(gè)Request完成后，客戶端和服務(wù)器之間用于傳輸HTTP數(shù)據(jù)的TCP連接會(huì)關(guān)閉雏门，當(dāng)客戶端再次發(fā)送Request嘿歌，需要重新建立TCP連接。

Host：（發(fā)送請(qǐng)求時(shí)茁影，該頭域是必需的）主要用于指定被請(qǐng)求資源的Internet主機(jī)和端口號(hào)宙帝，它通常從HTTP URL中提取出來的。HTTP/1.1請(qǐng)求必須包含主機(jī)頭域募闲，否則系統(tǒng)會(huì)以400狀態(tài)碼返回步脓。

例如: 我們?cè)跒g覽器中輸入：http://www.guet.edu.cn/index.html，瀏覽器發(fā)送的請(qǐng)求消息中浩螺，就會(huì)包含Host請(qǐng)求頭域：Host：http://www.guet.edu.cn靴患，此處使用缺省端口號(hào)80，若指定了端口號(hào)要出，則變成：Host：指定端口號(hào)鸳君。

Cookie：最重要的請(qǐng)求頭之一, 將cookie的值發(fā)送給HTTP服務(wù)器。

Content-Length：表示請(qǐng)求消息正文的長度患蹂。例如：Content-Length: 38或颊。

Authorization：授權(quán)信息，通常出現(xiàn)在對(duì)服務(wù)器發(fā)送的WWW-Authenticate頭的應(yīng)答中传于。主要用于證明客戶端有權(quán)查看某個(gè)資源囱挑。當(dāng)瀏覽器訪問一個(gè)頁面時(shí)，如果收到服務(wù)器的響應(yīng)代碼為401（未授權(quán)）沼溜，可以發(fā)送一個(gè)包含Authorization請(qǐng)求報(bào)頭域的請(qǐng)求平挑，要求服務(wù)器對(duì)其進(jìn)行驗(yàn)證。

UA-Pixels系草，UA-Color弹惦，UA-OS否淤，UA-CPU：由某些版本的IE瀏覽器所發(fā)送的非標(biāo)準(zhǔn)的請(qǐng)求頭，表示屏幕大小棠隐、顏色深度、操作系統(tǒng)和CPU類型檐嚣。

From：請(qǐng)求發(fā)送者的email地址助泽，由一些特殊的Web客戶程序使用，瀏覽器不會(huì)用到它嚎京。

Range：可以請(qǐng)求實(shí)體的一個(gè)或者多個(gè)子范圍嗡贺。例如，

表示頭500個(gè)字節(jié)：bytes=0-499

表示第二個(gè)500字節(jié)：bytes=500-999

表示最后500個(gè)字節(jié)：bytes=-500

表示500字節(jié)以后的范圍：bytes=500-

第一個(gè)和最后一個(gè)字節(jié)：bytes=0-0,-1

同時(shí)指定幾個(gè)范圍：bytes=500-600,601-999

但是服務(wù)器可以忽略此請(qǐng)求頭鞍帝，如果無條件GET包含Range請(qǐng)求頭诫睬，響應(yīng)會(huì)以狀態(tài)碼206（PartialContent）返回而不是以200（OK）。

6帕涌、HTTP常見的響應(yīng)頭

Allow：服務(wù)器支持哪些請(qǐng)求方法（如GET摄凡、POST等）。

Date：表示消息發(fā)送的時(shí)間蚓曼，時(shí)間的描述格式由rfc822定義亲澡。例如，Date:Mon,31Dec200104:25:57GMT纫版。Date描述的時(shí)間表示世界標(biāo)準(zhǔn)時(shí)床绪，換算成本地時(shí)間，需要知道用戶所在的時(shí)區(qū)其弊。你可以用setDateHeader來設(shè)置這個(gè)頭以避免轉(zhuǎn)換時(shí)間格式的麻煩

Expires：指明應(yīng)該在什么時(shí)候認(rèn)為文檔已經(jīng)過期癞己，從而不再緩存它，重新從服務(wù)器獲取梭伐，會(huì)更新緩存痹雅。過期之前使用本地緩存。HTTP1.1的客戶端和緩存會(huì)將非法的日期格式（包括0）看作已經(jīng)過期籽御。eg：為了讓瀏覽器不要緩存頁面练慕，我們也可以將Expires實(shí)體報(bào)頭域，設(shè)置為0技掏。

例如: Expires: Tue, 08 Feb 2022 11:35:14 GMT

P3P：用于跨域設(shè)置Cookie, 這樣可以解決iframe跨域訪問cookie的問題

例如: P3P: CP=CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR

Set-Cookie：非常重要的header, 用于把cookie發(fā)送到客戶端瀏覽器铃将，每一個(gè)寫入cookie都會(huì)生成一個(gè)Set-Cookie。

例如: Set-Cookie: sc=4c31523a; path=/; domain=.acookie.taobao.com

ETag：和If-None-Match 配合使用哑梳。

Last-Modified：用于指示資源的最后修改日期和時(shí)間劲阎。Last-Modified也可用setDateHeader方法來設(shè)置。

Content-Type：WEB服務(wù)器告訴瀏覽器自己響應(yīng)的對(duì)象的類型和字符集鸠真。Servlet默認(rèn)為text/plain悯仙，但通常需要顯式地指定為text/html龄毡。由于經(jīng)常要設(shè)置Content-Type，因此HttpServletResponse提供了一個(gè)專用的方法setContentType锡垄÷倭悖可在web.xml文件中配置擴(kuò)展名和MIME類型的對(duì)應(yīng)關(guān)系。

例如:Content-Type: text/html;charset=utf-8

Content-Type:text/html;charset=GB2312

Content-Type: image/jpeg

媒體類型的格式為：大類/小類货岭，比如text/html路操。

IANA(The Internet Assigned Numbers Authority，互聯(lián)網(wǎng)數(shù)字分配機(jī)構(gòu))定義了8個(gè)大類的媒體類型千贯，分別是:

application— (比如: application/vnd.ms-excel.)

audio (比如: audio/mpeg.)

image (比如: image/png.)

message (比如,:message/http.)

model(比如:model/vrml.)

multipart (比如:multipart/form-data.)

text(比如:text/html.)

video(比如:video/quicktime.)

Content-Range：用于指定整個(gè)實(shí)體中的一部分的插入位置屯仗，他也指示了整個(gè)實(shí)體的長度。在服務(wù)器向客戶返回一個(gè)部分響應(yīng)搔谴，它必須描述響應(yīng)覆蓋的范圍和整個(gè)實(shí)體長度魁袜。一般格式：Content-Range:bytes-unitSPfirst-byte-pos-last-byte-pos/entity-length。

例如敦第，傳送頭500個(gè)字節(jié)次字段的形式：Content-Range:bytes0-499/1234如果一個(gè)http消息包含此節(jié)（例如峰弹，對(duì)范圍請(qǐng)求的響 應(yīng)或?qū)σ幌盗蟹秶闹丿B請(qǐng)求），Content-Range表示傳送的范圍申尼。

Content-Length：指明實(shí)體正文的長度垮卓，以字節(jié)方式存儲(chǔ)的十進(jìn)制數(shù)字來表示。在數(shù)據(jù)下行的過程中师幕，Content-Length的方式要預(yù)先在服務(wù)器中緩存所有數(shù)據(jù)粟按，然后所有數(shù)據(jù)再一股腦兒地發(fā)給客戶端。只有當(dāng)瀏覽器使用持久HTTP連接時(shí)才需要這個(gè)數(shù)據(jù)霹粥。如果你想要利用持久連接的優(yōu)勢(shì)灭将，可以把輸出文檔寫入ByteArrayOutputStram，完成后查看其大小后控，然后把該值放入Content-Length頭庙曙，最后通過byteArrayStream.writeTo(response.getOutputStream()發(fā)送內(nèi)容。

例如: Content-Length: 19847

Content-Encoding：WEB服務(wù)器表明自己使用了什么壓縮方法（gzip浩淘，deflate）壓縮響應(yīng)中的對(duì)象捌朴。只有在解碼之后才可以得到Content-Type頭指定的內(nèi)容類型。利用gzip壓縮文檔能夠顯著地減少HTML文檔的下載時(shí)間张抄。Java的GZIPOutputStream可以很方便地進(jìn)行g(shù)zip壓縮砂蔽，但只有Unix上的Netscape和Windows上的IE 4、IE 5才支持它署惯。因此左驾，Servlet應(yīng)該通過查看Accept-Encoding頭（即request.getHeader("Accept-Encoding")）檢查瀏覽器是否支持gzip，為支持gzip的瀏覽器返回經(jīng)gzip壓縮的HTML頁面，為其他瀏覽器返回普通頁面诡右。

例如：Content-Encoding：gzip

Content-Language：WEB服務(wù)器告訴瀏覽器自己響應(yīng)的對(duì)象所用的自然語言安岂。例如： Content-Language:da。沒有設(shè)置該域則認(rèn)為實(shí)體內(nèi)容將提供給所有的語言閱讀帆吻。

Server：指明HTTP服務(wù)器用來處理請(qǐng)求的軟件信息域那。例如：Server: Microsoft-IIS/7.5、Server：Apache-Coyote/1.1猜煮。此域能包含多個(gè)產(chǎn)品標(biāo)識(shí)和注釋琉雳，產(chǎn)品標(biāo)識(shí)一般按照重要性排序。

X-AspNet-Version：如果網(wǎng)站是用ASP.NET開發(fā)的友瘤，這個(gè)header用來表示ASP.NET的版本。

例如: X-AspNet-Version: 4.0.30319

X-Powered-By：表示網(wǎng)站是用什么技術(shù)開發(fā)的檐束。

例如： X-Powered-By: ASP.NET

Connection：

例如：Connection: keep-alive 當(dāng)一個(gè)網(wǎng)頁打開完成后辫秧，客戶端和服務(wù)器之間用于傳輸HTTP數(shù)據(jù)的TCP連接不會(huì)關(guān)閉，如果客戶端再次訪問這個(gè)服務(wù)器上的網(wǎng)頁被丧，會(huì)繼續(xù)使用這一條已經(jīng)建立的連接盟戏。

Connection: close 代表一個(gè)Request完成后，客戶端和服務(wù)器之間用于傳輸HTTP數(shù)據(jù)的TCP連接會(huì)關(guān)閉甥桂，當(dāng)客戶端再次發(fā)送Request柿究，需要重新建立TCP連接。

Location：用于重定向一個(gè)新的位置黄选，包含新的URL地址蝇摸。表示客戶應(yīng)當(dāng)?shù)侥睦锶ヌ崛∥臋n。Location通常不是直接設(shè)置的办陷，而是通過HttpServletResponse的sendRedirect方法貌夕，該方法同時(shí)設(shè)置狀態(tài)代碼為302。Location響應(yīng)報(bào)頭域常用在更換域名的時(shí)候民镜。

Refresh：表示瀏覽器應(yīng)該在多少時(shí)間之后刷新文檔啡专，以秒計(jì)。除了刷新當(dāng)前文檔之外制圈，你還可以通過setHeader("Refresh", "5; URL=http://host/path")讓瀏覽器讀取指定的頁面们童。注意這種功能通常是通過設(shè)置HTML頁面HEAD區(qū)的實(shí)現(xiàn)，這是因?yàn)榫校詣?dòng)刷新或重定向?qū)τ谀切┎荒苁褂肅GI或Servlet的HTML編寫者十分重要慧库。但是，對(duì)于Servlet來說亥鬓，直接設(shè)置Refresh頭更加方便完沪。注意Refresh的意義是“N秒之后刷新本頁面或訪問指定頁面”，而不是“每隔N秒刷新本頁面或訪問指定頁面”。因此覆积，連續(xù)刷新要求每次都發(fā)送一個(gè)Refresh頭听皿，而發(fā)送204狀態(tài)代碼則可以阻止瀏覽器繼續(xù)刷新，不管是使用Refresh頭還是宽档。注意Refresh頭不屬于HTTP 1.1正式規(guī)范的一部分尉姨，而是一個(gè)擴(kuò)展，但Netscape和IE都支持它吗冤。

WWW-Authenticate：該響應(yīng)報(bào)頭域必須被包含在401（未授權(quán)的）響應(yīng)消息中又厉，客戶端收到401響應(yīng)消息時(shí)候，并發(fā)送Authorization報(bào)頭域請(qǐng)求服務(wù)器對(duì)其進(jìn)行驗(yàn)證時(shí)椎瘟，服務(wù)端響應(yīng)報(bào)頭就包含該報(bào)頭域覆致。

eg：WWW-Authenticate:Basic realm="Basic Auth Test!" //可以看出服務(wù)器對(duì)請(qǐng)求資源采用的是基本驗(yàn)證機(jī)制。

緩存的實(shí)現(xiàn)原理

WEB緩存(cache)位于Web服務(wù)器和客戶端之間肺蔚。

緩存會(huì)根據(jù)請(qǐng)求保存輸出內(nèi)容的副本煌妈，例如html頁面，圖片宣羊，文件璧诵，當(dāng)下一個(gè)請(qǐng)求來到的時(shí)候：如果是相同的URL，緩存直接使用副本響應(yīng)訪問請(qǐng)求仇冯，而不是向源服務(wù)器再次發(fā)送請(qǐng)求之宿。

HTTP協(xié)議定義了相關(guān)的消息頭來使WEB緩存盡可能好的工作。

1苛坚、緩存的優(yōu)點(diǎn)

減少相應(yīng)延遲：因?yàn)檎?qǐng)求從緩存服務(wù)器（離客戶端更近）而不是源服務(wù)器被相應(yīng)比被，這個(gè)過程耗時(shí)更少，讓web服務(wù)器看上去相應(yīng)更快炕婶。

減少網(wǎng)絡(luò)帶寬消耗：當(dāng)副本被重用時(shí)會(huì)減低客戶端的帶寬消耗姐赡；客戶可以節(jié)省帶寬費(fèi)用，控制帶寬的需求的增長并更易于管理柠掂。

2项滑、客戶端緩存生效的常見流程

服務(wù)器收到請(qǐng)求時(shí)，會(huì)在200OK中回送該資源的Last-Modified和ETag頭涯贞，客戶端將該資源保存在cache中枪狂，并記錄這兩個(gè)屬性。當(dāng)客戶端需要發(fā)送相同的請(qǐng)求時(shí)宋渔，會(huì)在請(qǐng)求中攜帶If-Modified-Since和If-None-Match兩個(gè)頭州疾。兩個(gè)頭的值分別是響應(yīng)中Last-Modified和ETag頭的值。服務(wù)器通過這兩個(gè)頭判斷本地資源未發(fā)生變化皇拣，客戶端不需要重新下載严蓖，返回304響應(yīng)薄嫡。

3、Web緩存機(jī)制

HTTP/1.1中緩存的目的是為了在很多情況下減少發(fā)送請(qǐng)求颗胡，同時(shí)在許多情況下可以不需要發(fā)送完整響應(yīng)毫深。前者減少了網(wǎng)絡(luò)回路的數(shù)量；HTTP利用一個(gè)“過期（expiration）”機(jī)制來為此目的毒姨。后者減少了網(wǎng)絡(luò)應(yīng)用的帶寬哑蔫；HTTP用“驗(yàn)證（validation）”機(jī)制來為此目的。

HTTP定義了3種緩存機(jī)制：

1）Freshness：允許一個(gè)回應(yīng)消息可以在源服務(wù)器不被重新檢查弧呐，并且可以由服務(wù)器和客戶端來控制闸迷。例如，Expires回應(yīng)頭給了一個(gè)文檔不可用的時(shí)間俘枫。Cache-Control中的max-age標(biāo)識(shí)指明了緩存的最長時(shí)間腥沽；

2）Validation：用來檢查以一個(gè)緩存的回應(yīng)是否仍然可用。例如鸠蚪，如果一個(gè)回應(yīng)有一個(gè)Last-Modified回應(yīng)頭巡球，緩存能夠使用If-Modified-Since來判斷是否已改變，以便判斷根據(jù)情況發(fā)送請(qǐng)求邓嘹；

3）Invalidation：在另一個(gè)請(qǐng)求通過緩存的時(shí)候，常常有一個(gè)副作用险胰。例如汹押，如果一個(gè)URL關(guān)聯(lián)到一個(gè)緩存回應(yīng)，但是其后跟著POST起便、PUT和DELETE的請(qǐng)求的話棚贾，緩存就會(huì)過期。

HTTP應(yīng)用

1榆综、斷點(diǎn)續(xù)傳的實(shí)現(xiàn)原理

HTTP協(xié)議的GET方法妙痹，支持只請(qǐng)求某個(gè)資源的某一部分；

206 Partial Content 部分內(nèi)容響應(yīng)鼻疮；

Range 請(qǐng)求的資源范圍怯伊；

Content-Range 響應(yīng)的資源范圍；

在連接斷開重連時(shí)判沟，客戶端只請(qǐng)求該資源未下載的部分耿芹，而不是重新請(qǐng)求整個(gè)資源，來實(shí)現(xiàn)斷點(diǎn)續(xù)傳挪哄。

分塊請(qǐng)求資源實(shí)例：

Eg1：Range: bytes=306302- ：請(qǐng)求這個(gè)資源從306302個(gè)字節(jié)到末尾的部分吧秕；

Eg2：Content-Range: bytes 306302-604047/604048：響應(yīng)中指示攜帶的是該資源的第306302-604047的字節(jié)，該資源共604048個(gè)字節(jié)迹炼；

客戶端通過并發(fā)的請(qǐng)求相同資源的不同片段砸彬，來實(shí)現(xiàn)對(duì)某個(gè)資源的并發(fā)分塊下載。從而達(dá)到快速下載的目的。目前流行的FlashGet和迅雷基本都是這個(gè)原理砂碉。

2蛀蜜、多線程下載的原理

下載工具開啟多個(gè)發(fā)出HTTP請(qǐng)求的線程；

每個(gè)http請(qǐng)求只請(qǐng)求資源文件的一部分：Content-Range: bytes 20000-40000/47000绽淘；

合并每個(gè)線程下載的文件涵防。

3、http代理

http代理服務(wù)器

代理服務(wù)器英文全稱是Proxy Server沪铭，其功能就是代理網(wǎng)絡(luò)用戶去取得網(wǎng)絡(luò)信息壮池。形象的說：它是網(wǎng)絡(luò)信息的中轉(zhuǎn)站。

代理服務(wù)器是介于瀏覽器和Web服務(wù)器之間的一臺(tái)服務(wù)器杀怠，有了它之后椰憋，瀏覽器不是直接到Web服務(wù)器去取回網(wǎng)頁而是向代理服務(wù)器發(fā)出請(qǐng)求，Request信號(hào)會(huì)先送到代理服務(wù)器赔退，由代理服務(wù)器來取回瀏覽器所需要的信息并傳送給你的瀏覽器橙依。

而且，大部分代理服務(wù)器都具有緩沖的功能硕旗，就好象一個(gè)大的Cache窗骑，它有很大的存儲(chǔ)空間，它不斷將新取得數(shù)據(jù)儲(chǔ)存到它本機(jī)的存儲(chǔ)器上漆枚，如果瀏覽器所請(qǐng)求的數(shù)據(jù)在它本機(jī)的存儲(chǔ)器上已經(jīng)存在而且是最新的创译，那么它就不重新從Web服務(wù)器取數(shù)據(jù)，而直接將存儲(chǔ)器上的數(shù)據(jù)傳送給用戶的瀏覽器墙基，這樣就能顯著提高瀏覽速度和效率软族。更重要的是：Proxy Server(代理服務(wù)器)是Internet鏈路級(jí)網(wǎng)關(guān)所提供的一種重要的安全功能，它的工作主要在開放系統(tǒng)互聯(lián)(OSI)模型的對(duì)話層残制。

http代理服務(wù)器的主要功能：

1）突破自身IP訪問限制立砸，訪問國外站點(diǎn)。如：教育網(wǎng)初茶、169網(wǎng)等網(wǎng)絡(luò)用戶可以通過代理訪問國外網(wǎng)站颗祝；

2）訪問一些單位或團(tuán)體內(nèi)部資源，如某大學(xué)FTP(前提是該代理地址在該資源的允許訪問范圍之內(nèi))恼布，使用教育網(wǎng)內(nèi)地址段免費(fèi)代理服務(wù)器吐葵，就可以用于對(duì)教育 網(wǎng)開放的各類FTP下載上傳，以及各類資料查詢共享等服務(wù)桥氏；

3）突破中國電信的IP封鎖：中國電信用戶有很多網(wǎng)站是被限制訪問的温峭，這種限制是人為的，不同Serve對(duì)地址的封鎖是不同的字支。所以不能訪問時(shí)可以換一個(gè)國外的代理服務(wù)器試試凤藏；

4）提高訪問速度：通常代理服務(wù)器都設(shè)置一個(gè)較大的硬盤緩沖區(qū)奸忽，當(dāng)有外界的信息通過時(shí)，同時(shí)也將其保存到緩沖區(qū)中揖庄，當(dāng)其他用戶再訪問相同的信息時(shí)栗菜，則直接由緩沖區(qū)中取出信息，傳給用戶蹄梢，以提高訪問速度疙筹；

5）隱藏真實(shí)IP：上網(wǎng)者也可以通過這種方法隱藏自己的IP，免受攻擊禁炒。

對(duì)于客戶端瀏覽器而言而咆，http代理服務(wù)器相當(dāng)于服務(wù)器。

而對(duì)于Web服務(wù)器而言幕袱，http代理服務(wù)器又擔(dān)當(dāng)了客戶端的角色暴备。

4、虛擬主機(jī)

虛擬主機(jī)：是在網(wǎng)絡(luò)服務(wù)器上劃分出一定的磁盤空間供用戶放置站點(diǎn)们豌、應(yīng)用組件等涯捻，提供必要的站點(diǎn)功能與數(shù)據(jù)存放、傳輸功能望迎。

所謂虛擬主機(jī)障癌，也叫“網(wǎng)站空間”就是把一臺(tái)運(yùn)行在互聯(lián)網(wǎng)上的服務(wù)器劃分成多個(gè)“虛擬”的服務(wù)器，每一個(gè)虛擬主機(jī)都具有獨(dú)立的域名和完整的Internet服務(wù)器（支持WWW辩尊、FTP混弥、E-mail等）功能。一臺(tái)服務(wù)器上的不同虛擬主機(jī)是各自獨(dú)立的对省，并由用戶自行管理。但一臺(tái)服務(wù)器主機(jī)只能夠支持一定數(shù)量的虛擬主機(jī)晾捏，當(dāng)超過這個(gè)數(shù)量時(shí)蒿涎，用戶將會(huì)感到性能急劇下降。

虛擬主機(jī)的實(shí)現(xiàn)原理

虛擬主機(jī)是用同一個(gè)WEB服務(wù)器惦辛，為不同域名網(wǎng)站提供服務(wù)的技術(shù)。Apache、Tomcat等均可通過配置實(shí)現(xiàn)這個(gè)功能睡互。

相關(guān)的HTTP消息頭：Host栗柒。

例如：Host: www.baidu.com

客戶端發(fā)送HTTP請(qǐng)求的時(shí)候，會(huì)攜帶Host頭呀伙，Host頭記錄的是客戶端輸入的域名补履。這樣服務(wù)器可以根據(jù)Host頭確認(rèn)客戶要訪問的是哪一個(gè)域名。

HTTPS傳輸協(xié)議原理

HTTPS（全稱：Hypertext Transfer Protocol over Secure Socket Layer）剿另，是以安全為目標(biāo)的HTTP通道箫锤，簡單講是HTTP的安全版贬蛙。即HTTP下加入SSL層，HTTPS的安全基礎(chǔ)是SSL谚攒，因此加密的詳細(xì)內(nèi)容請(qǐng)看SSL阳准。

1、兩種基本的加解密算法類型

對(duì)稱加密：密鑰只有一個(gè)馏臭，加密解密為同一個(gè)密碼野蝇，且加解密速度快，典型的對(duì)稱加密算法有DES括儒、AES等绕沈。

非對(duì)稱加密：密鑰成對(duì)出現(xiàn)（且根據(jù)公鑰無法推知私鑰，根據(jù)私鑰也無法推知公鑰）塑崖，加密解密使用不同密鑰（公鑰加密需要私鑰解密七冲，私鑰加密需要公鑰解密），相對(duì)對(duì)稱加密速度較慢规婆，典型的非對(duì)稱加密算法有RSA澜躺、DSA等。

2抒蚜、HTTPS通信過程

3掘鄙、HTTPS通信的優(yōu)點(diǎn)

客戶端產(chǎn)生的密鑰只有客戶端和服務(wù)器端能得到；

加密的數(shù)據(jù)只有客戶端和服務(wù)器端才能得到明文嗡髓；

客戶端到服務(wù)端的通信是安全的操漠。

HTTP認(rèn)證方式

HTTP請(qǐng)求報(bào)頭： Authorization

HTTP響應(yīng)報(bào)頭： WWW-Authenticate

HTTP認(rèn)證是基于質(zhì)詢/回應(yīng)(challenge/response)的認(rèn)證模式。

1 基本認(rèn)證 basic authentication（HTTP1.0提出的認(rèn)證方法）

基本認(rèn)證是一種用來允許Web瀏覽器或其他客戶端程序在請(qǐng)求時(shí)提供用戶名和口令形式的身份憑證的一種登錄驗(yàn)證方式饿这。

把 "用戶名+冒號(hào)+密碼"用BASE64算法加密后的字符串放在http request 中的header Authorization中發(fā)送給服務(wù)端浊伙。

客戶端對(duì)于每一個(gè)realm，通過提供用戶名和密碼來進(jìn)行認(rèn)證的方式长捧。

包含密碼的明文傳遞嚣鄙。

當(dāng)瀏覽器訪問使用基本認(rèn)證的網(wǎng)站的時(shí)候， 瀏覽器會(huì)提示你輸入用戶名和密碼串结，如下圖：

假如用戶名密碼錯(cuò)誤的話哑子，服務(wù)器會(huì)返回401，如下圖：

基本認(rèn)證步驟：

1肌割、客戶端訪問一個(gè)受http基本認(rèn)證保護(hù)的資源卧蜓。

2、服務(wù)器返回401狀態(tài)把敞，要求客戶端提供用戶名和密碼進(jìn)行認(rèn)證弥奸。（驗(yàn)證失敗的時(shí)候，響應(yīng)頭會(huì)加上WWW-Authenticate: Basic realm="請(qǐng)求域"奋早。）

401 Unauthorized

WWW-Authenticate： Basic realm="WallyWorld"

3其爵、客戶端將輸入的用戶名密碼用Base64進(jìn)行編碼后冒冬，采用非加密的明文方式傳送給服務(wù)器。

Authorization: Basic xxxxxxxxxx.

4摩渺、服務(wù)器將Authorization頭中的用戶名密碼解碼并取出简烤，進(jìn)行驗(yàn)證，如果認(rèn)證成功摇幻，則返回相應(yīng)的資源横侦。如果認(rèn)證失敗，則仍返回401狀態(tài)绰姻，要求重新進(jìn)行認(rèn)證枉侧。

特記事項(xiàng)：

1、Http是無狀態(tài)的狂芋，同一個(gè)客戶端對(duì)同一個(gè)realm內(nèi)資源的每一個(gè)訪問會(huì)被要求進(jìn)行認(rèn)證榨馁。

2、客戶端通常會(huì)緩存用戶名和密碼帜矾，并和authentication realm一起保存翼虫，所以，一般不需要你重新輸入用戶名和密碼屡萤。

3珍剑、以非加密的明文方式傳輸，雖然轉(zhuǎn)換成了不易被人直接識(shí)別的字符串死陆，但是無法防止用戶名密碼被惡意盜用招拙。雖然用肉眼看不出來，但用程序很容易解密措译。

優(yōu)點(diǎn)：

基本認(rèn)證的一個(gè)優(yōu)點(diǎn)是基本上所有流行的網(wǎng)頁瀏覽器都支持基本認(rèn)證别凤。基本認(rèn)證很少在可公開訪問的互聯(lián)網(wǎng)網(wǎng)站上使用领虹，有時(shí)候會(huì)在小的私有系統(tǒng)中使用（如路由器網(wǎng)頁管理接口）规哪。后來的機(jī)制HTTP摘要認(rèn)證是為替代基本認(rèn)證而開發(fā)的，允許密鑰以相對(duì)安全的方式在不安全的通道上傳輸掠械。

程序員和系統(tǒng)管理員有時(shí)會(huì)在可信網(wǎng)絡(luò)環(huán)境中使用基本認(rèn)證，使用Telnet或其他明文網(wǎng)絡(luò)協(xié)議工具手動(dòng)地測(cè)試Web服務(wù)器注祖。這是一個(gè)麻煩的過程猾蒂，但是網(wǎng)絡(luò)上傳輸?shù)膬?nèi)容是人可讀的，以便進(jìn)行診斷是晨。

缺點(diǎn)：

雖然基本認(rèn)證非常容易實(shí)現(xiàn)肚菠，但該方案建立在以下的假設(shè)的基礎(chǔ)上，即：客戶端和服務(wù)器主機(jī)之間的連接是安全可信的罩缴。特別是蚊逢，如果沒有使用SSL/TLS這樣的傳輸層安全的協(xié)議层扶，那么以明文傳輸?shù)拿荑€和口令很容易被攔截。該方案也同樣沒有對(duì)服務(wù)器返回的信息提供保護(hù)烙荷。

現(xiàn)存的瀏覽器保存認(rèn)證信息直到標(biāo)簽頁或?yàn)g覽器被關(guān)閉镜会，或者用戶清除歷史記錄。HTTP沒有為服務(wù)器提供一種方法指示客戶端丟棄這些被緩存的密鑰终抽。這意味著服務(wù)器端在用戶不關(guān)閉瀏覽器的情況下戳表，并沒有一種有效的方法來讓用戶登出。

一個(gè)例子：

?這一個(gè)典型的HTTP客戶端和HTTP服務(wù)器的對(duì)話昼伴，服務(wù)器安裝在同一臺(tái)計(jì)算機(jī)上（localhost）匾旭，包含以下步驟：

客戶端請(qǐng)求一個(gè)需要身份認(rèn)證的頁面，但是沒有提供用戶名和口令圃郊。這通常是用戶在地址欄輸入一個(gè)URL价涝，或是打開了一個(gè)指向該頁面的鏈接。服務(wù)端響應(yīng)一個(gè)401應(yīng) 答碼持舆，并提供一個(gè)認(rèn)證域色瘩。接到應(yīng)答后，客戶端顯示該認(rèn)證域（通常是所訪問的計(jì)算機(jī)或系統(tǒng)的描述）給用戶并提示輸入用戶名和口令吏廉。此時(shí)用戶可以選擇確定或取消泞遗。用戶輸入了用戶名和口令后，客戶端軟件會(huì)在原先的請(qǐng)求上增加認(rèn)證消息頭（值是base64encode(username+":"+password)）席覆，然后重新發(fā)送再次嘗試史辙。在本例中，服務(wù)器接受了該認(rèn)證屏幕并返回了頁面佩伤。如果用戶憑據(jù)非法或無效聊倔，服務(wù)器可能再次返回401應(yīng)答碼，客戶端可以再次提示用戶輸入口令生巡。注意:客戶端有可能不需要用戶交互耙蔑，在第一次請(qǐng)求中就發(fā)送認(rèn)證消息頭。

客戶端請(qǐng)求（沒有認(rèn)證信息）：

GET /private/index.html HTTP/1.0

Host: localhost

（跟隨一個(gè)換行孤荣，以回車（CR）加換行（LF）的形式）

服務(wù)端應(yīng)答：

HTTP/1.0 401 Authorization Required

Server: HTTPd/1.0

Date: Sat, 27 Nov 2004 10:18:15 GMT

WWW-Authenticate: Basic realm="Secure Area"

Content-Type: text/html

Content-Length: 311

客戶端的請(qǐng)求（用戶名“"Aladdin”甸陌，口令, password “open sesame”）：

GET /private/index.html HTTP/1.0

Host: localhostAuthorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

（跟隨一個(gè)空行，如上所述）

服務(wù)端的應(yīng)答：

HTTP/1.0 200 OK

Server: HTTPd/1.0

Date: Sat, 27 Nov 2004 10:19:07 GMT

Content-Type: text/html

Content-Length: 10476

（跟隨一個(gè)空行盐股，隨后是需憑據(jù)頁的HTML文本）钱豁。

HTTP OAuth認(rèn)證OAuth對(duì)于Http來說，就是放在Authorization header中的不是用戶名密碼疯汁， 而是一個(gè)token牲尺。微軟的Skydrive就是使用這樣的方式。

2、摘要認(rèn)證 digest authentication（HTTP1.1提出的基本認(rèn)證的替代方法）

這個(gè)認(rèn)證可以看做是基本認(rèn)證的增強(qiáng)版本谤碳，不包含密碼的明文傳遞溃卡。

引入了一系列安全增強(qiáng)的選項(xiàng)；“保護(hù)質(zhì)量”(qop)蜒简、隨機(jī)數(shù)計(jì)數(shù)器由客戶端增加瘸羡、以及客戶生成的隨機(jī)數(shù)。

在HTTP摘要認(rèn)證中使用 MD5 加密是為了達(dá)成"不可逆的"臭蚁，也就是說最铁，當(dāng)輸出已知的時(shí)候，確定原始的輸入應(yīng)該是相當(dāng)困難的垮兑。如果密碼本身太過簡單冷尉，也許可以

通過嘗試所有可能的輸入來找到對(duì)應(yīng)的輸出（窮舉攻擊），甚至可以通過字典或者適當(dāng)?shù)牟檎冶砑涌觳檎宜俣取?/p>

示例及說明

下面的例子僅僅涵蓋了“auth”保護(hù)質(zhì)量的代碼系枪，因?yàn)樵谧珜懫陂g雀哨，所知道的只有Opera和Konqueror網(wǎng)頁瀏覽器支持“auth-int”（帶完整性保護(hù)的認(rèn)證）。

典型的認(rèn)證過程包括如下步驟：

客戶端請(qǐng)求一個(gè)需要認(rèn)證的頁面私爷，但是不提供用戶名和密碼雾棺。通常這是由于用戶簡單的輸入了一個(gè)地址或者在頁面中點(diǎn)擊了某個(gè)超鏈接。

服務(wù)器返回401 "Unauthorized" 響應(yīng)代碼衬浑，并提供認(rèn)證域(realm)捌浩，以及一個(gè)隨機(jī)生成的、只使用一次的數(shù)值工秩，稱為密碼隨機(jī)數(shù) nonce尸饺。

此時(shí)，瀏覽器會(huì)向用戶提示認(rèn)證域(realm)（通常是所訪問的計(jì)算機(jī)或系統(tǒng)的描述）助币，并且提示用戶名和密碼浪听。用戶此時(shí)可以選擇取消。

一旦提供了用戶名和密碼眉菱，客戶端會(huì)重新發(fā)送同樣的請(qǐng)求迹栓，但是添加了一個(gè)認(rèn)證頭包括了響應(yīng)代碼。

注意：客戶端可能已經(jīng)擁有了用戶名和密碼俭缓，因此不需要提示用戶克伊，比如以前存儲(chǔ)在瀏覽器里的。

客戶端請(qǐng)求 (無認(rèn)證)：

GET /dir/index.html HTTP/1.0

Host: localhost

(跟隨一個(gè)新行华坦，形式為一個(gè)回車再跟一個(gè)換行）

服務(wù)器響應(yīng)：

HTTP/1.0 401 Unauthorized

Server: HTTPd/0.9

Date: Sun, 10 Apr 2005 20:26:47 GMT

WWW-Authenticate: Digest realm="testrealm@host.com",? //認(rèn)證域

qop="auth,auth-int",? //保護(hù)質(zhì)量

nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",? //服務(wù)器密碼隨機(jī)數(shù)

opaque="5ccc069c403ebaf9f0171e9517f40e41"

Content-Type: text/html

Content-Length: 311

客戶端請(qǐng)求 (用戶名 "Mufasa", 密碼 "Circle Of Life")：

GET /dir/index.html HTTP/1.0

Host: localhost

Authorization: Digest username="Mufasa",

realm="testrealm@host.com",

nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",

uri="/dir/index.html",

qop=auth,

nc=00000001,? ? //請(qǐng)求計(jì)數(shù)

cnonce="0a4f113b",? //客戶端密碼隨機(jī)數(shù)

response="6629fae49393a05397450978507c4ef1",

opaque="5ccc069c403ebaf9f0171e9517f40e41"

(跟隨一個(gè)新行愿吹，形式如前所述)。

服務(wù)器響應(yīng)：

HTTP/1.0 200 OK

Server: HTTPd/0.9

Date: Sun, 10 Apr 2005 20:27:03 GMT

Content-Type: text/html

Content-Length: 7984

(隨后是一個(gè)空行季春，然后是所請(qǐng)求受限制的HTML頁面)

response 值由三步計(jì)算而成洗搂。當(dāng)多個(gè)數(shù)值合并的時(shí)候消返，使用冒號(hào)作為分割符：

1载弄、對(duì)用戶名耘拇、認(rèn)證域(realm)以及密碼的合并值計(jì)算 MD5 哈希值，結(jié)果稱為 HA1宇攻。

2惫叛、對(duì)HTTP方法以及URI的摘要的合并值計(jì)算 MD5 哈希值，例如逞刷，"GET" 和 "/dir/index.html"嘉涌，結(jié)果稱為 HA2。

3夸浅、對(duì)HA1仑最、服務(wù)器密碼隨機(jī)數(shù)(nonce)、請(qǐng)求計(jì)數(shù)(nc)帆喇、客戶端密碼隨機(jī)數(shù)(cnonce)警医、保護(hù)質(zhì)量(qop)以及 HA2 的合并值計(jì)算 MD5 哈希值。結(jié)果即為客戶端提供的response 值坯钦。

因?yàn)榉?wù)器擁有與客戶端同樣的信息预皇，因此服務(wù)器可以進(jìn)行同樣的計(jì)算，以驗(yàn)證客戶端提交的 response 值的正確性婉刀。在上面給出的例子中吟温，結(jié)果是如下計(jì)算的。

（MD5()表示用于計(jì)算MD5哈希值的函數(shù)突颊；“\”表示接下一行鲁豪；引號(hào)并不參與計(jì)算）

HA1 = MD5( "Mufasa:testrealm@host.com:Circle Of Life" )

= 939e7578ed9e3c518a452acee763bce9

HA2 = MD5( "GET:/dir/index.html" )

= 39aff3a2bab6126f332b942af96d3366

Response = MD5( "939e7578ed9e3c518a452acee763bce9:\

dcd98b7102dd2f0e8b11d0f600bfb0c093:\

00000001:0a4f113b:auth:\

39aff3a2bab6126f332b942af96d3366" )

= 6629fae49393a05397450978507c4ef1

此時(shí)客戶端可以提交一個(gè)新的請(qǐng)求，重復(fù)使用服務(wù)器密碼隨機(jī)數(shù)(nonce)（服務(wù)器僅在每次“401”響應(yīng)后發(fā)行新的nonce）洋丐，但是提供新的客戶端密碼隨機(jī)數(shù)(cnonce)呈昔。在后續(xù)的請(qǐng)求中，十六進(jìn)制請(qǐng)求計(jì)數(shù)器(nc)必須比前一次使用的時(shí)候要大友绝，否則攻擊者可以簡單的使用同樣的認(rèn)證信息重放老的請(qǐng)求堤尾。由服務(wù)器來確保在每個(gè)發(fā)出的密碼隨機(jī)數(shù)nonce時(shí)，計(jì)數(shù)器是在增加的迁客，并拒絕掉任何錯(cuò)誤的請(qǐng)求郭宝。顯然，改變HTTP方法和/或計(jì)數(shù)器數(shù)值都會(huì)導(dǎo)致不同的 response值掷漱。

服務(wù)器應(yīng)當(dāng)記住最近所生成的服務(wù)器密碼隨機(jī)數(shù)nonce的值粘室。也可以在發(fā)行每一個(gè)密碼隨機(jī)數(shù)nonce后，記住過一段時(shí)間讓它們過期卜范。如果客戶端使用了一個(gè)過期的值衔统，服務(wù)器應(yīng)該響應(yīng)“401”狀態(tài)號(hào)，并且在認(rèn)證頭中添加stale=TRUE，表明客戶端應(yīng)當(dāng)使用新提供的服務(wù)器密碼隨機(jī)數(shù)nonce重發(fā)請(qǐng)求锦爵，而不必提示用戶其它用戶名和口令舱殿。

服務(wù)器不需要保存任何過期的密碼隨機(jī)數(shù)，它可以簡單的認(rèn)為所有不認(rèn)識(shí)的數(shù)值都是過期的险掀。服務(wù)器也可以只允許每一個(gè)服務(wù)器密碼隨機(jī)數(shù)nonce使用一次沪袭，當(dāng)然，這樣就會(huì)迫使客戶端在發(fā)送每個(gè)請(qǐng)求的時(shí)候重復(fù)認(rèn)證過程樟氢。需要注意的是冈绊，在生成后立刻過期服務(wù)器密碼隨機(jī)數(shù)nonce是不行的，因?yàn)榭蛻舳藢]有任何機(jī)會(huì)來使用這個(gè)nonce埠啃。

http的狀態(tài)響應(yīng)碼

1**(信息類)：表示接收到請(qǐng)求并且繼續(xù)處理

100——客戶必須繼續(xù)發(fā)出請(qǐng)求

101——客戶要求服務(wù)器根據(jù)請(qǐng)求轉(zhuǎn)換HTTP協(xié)議版本

2**(響應(yīng)成功)：表示動(dòng)作被成功接收死宣、理解和接受

200——表明該請(qǐng)求被成功地完成，所請(qǐng)求的資源發(fā)送回客戶端

201——提示知道新文件的URL

202——接受和處理碴开、但處理未完成

203——返回信息不確定或不完整

204——請(qǐng)求收到十电，但返回信息為空

205——服務(wù)器完成了請(qǐng)求，用戶代理必須復(fù)位當(dāng)前已經(jīng)瀏覽過的文件

206——服務(wù)器已經(jīng)完成了部分用戶的GET請(qǐng)求

3**(重定向類)：為了完成指定的動(dòng)作叹螟，必須接受進(jìn)一步處理

300——請(qǐng)求的資源可在多處得到

301——本網(wǎng)頁被永久性轉(zhuǎn)移到另一個(gè)URL

302——請(qǐng)求的網(wǎng)頁被轉(zhuǎn)移到一個(gè)新的地址鹃骂，但客戶訪問仍繼續(xù)通過原始URL地址，重定向罢绽，新的URL會(huì)在response中的Location中返回畏线，瀏覽器將會(huì)使用新的URL發(fā)出新的Request。

303——建議客戶訪問其他URL或訪問方式

304——自從上次請(qǐng)求后良价，請(qǐng)求的網(wǎng)頁未修改過寝殴，服務(wù)器返回此響應(yīng)時(shí)，不會(huì)返回網(wǎng)頁內(nèi)容明垢，代表上次的文檔已經(jīng)被緩存了蚣常，還可以繼續(xù)使用

305——請(qǐng)求的資源必須從服務(wù)器指定的地址得到

306——前一版本HTTP中使用的代碼，現(xiàn)行版本中不再使用

307——申明請(qǐng)求的資源臨時(shí)性刪除

4**(客戶端錯(cuò)誤類)：請(qǐng)求包含錯(cuò)誤語法或不能正確執(zhí)行

400——客戶端請(qǐng)求有語法錯(cuò)誤痊银，不能被服務(wù)器所理解

401——請(qǐng)求未經(jīng)授權(quán)抵蚊，這個(gè)狀態(tài)代碼必須和WWW-Authenticate報(bào)頭域一起使用

HTTP 401.1 - 未授權(quán)：登錄失敗

HTTP 401.2 - 未授權(quán)：服務(wù)器配置問題導(dǎo)致登錄失敗

HTTP 401.3 - ACL 禁止訪問資源

HTTP 401.4 - 未授權(quán)：授權(quán)被篩選器拒絕

HTTP 401.5 - 未授權(quán)：ISAPI 或 CGI 授權(quán)失敗

402——保留有效ChargeTo頭響應(yīng)

403——禁止訪問，服務(wù)器收到請(qǐng)求溯革，但是拒絕提供服務(wù)

HTTP 403.1 禁止訪問：禁止可執(zhí)行訪問

HTTP 403.2 - 禁止訪問：禁止讀訪問

HTTP 403.3 - 禁止訪問：禁止寫訪問

HTTP 403.4 - 禁止訪問：要求 SSL

HTTP 403.5 - 禁止訪問：要求 SSL 128

HTTP 403.6 - 禁止訪問：IP 地址被拒絕

HTTP 403.7 - 禁止訪問：要求客戶證書

HTTP 403.8 - 禁止訪問：禁止站點(diǎn)訪問

HTTP 403.9 - 禁止訪問：連接的用戶過多

HTTP 403.10 - 禁止訪問：配置無效

HTTP 403.11 - 禁止訪問：密碼更改

HTTP 403.12 - 禁止訪問：映射器拒絕訪問

HTTP 403.13 - 禁止訪問：客戶證書已被吊銷

HTTP 403.15 - 禁止訪問：客戶訪問許可過多

HTTP 403.16 - 禁止訪問：客戶證書不可信或者無效

HTTP 403.17 - 禁止訪問：客戶證書已經(jīng)到期或者尚未生效

404——一個(gè)404錯(cuò)誤表明可連接服務(wù)器贞绳，但服務(wù)器無法取得所請(qǐng)求的網(wǎng)頁，請(qǐng)求資源不存在致稀。eg：輸入了錯(cuò)誤的URL

405——用戶在Request-Line字段定義的方法不允許

406——根據(jù)用戶發(fā)送的Accept拖冈闭，請(qǐng)求資源不可訪問

407——類似401，用戶必須首先在代理服務(wù)器上得到授權(quán)

408——客戶端沒有在用戶指定的餓時(shí)間內(nèi)完成請(qǐng)求

409——對(duì)當(dāng)前資源狀態(tài)抖单，請(qǐng)求不能完成

410——服務(wù)器上不再有此資源且無進(jìn)一步的參考地址

411——服務(wù)器拒絕用戶定義的Content-Length屬性請(qǐng)求

412——一個(gè)或多個(gè)請(qǐng)求頭字段在當(dāng)前請(qǐng)求中錯(cuò)誤

413——請(qǐng)求的資源大于服務(wù)器允許的大小

414——請(qǐng)求的資源URL長于服務(wù)器允許的長度

415——請(qǐng)求資源不支持請(qǐng)求項(xiàng)目格式

416——請(qǐng)求中包含Range請(qǐng)求頭字段萎攒，在當(dāng)前請(qǐng)求資源范圍內(nèi)沒有range指示值遇八，請(qǐng)求也不包含If-Range請(qǐng)求頭字段

417——服務(wù)器不滿足請(qǐng)求Expect頭字段指定的期望值，如果是代理服務(wù)器耍休，可能是下一級(jí)服務(wù)器不能滿足請(qǐng)求長押蚤。

5**(服務(wù)端錯(cuò)誤類)：服務(wù)器不能正確執(zhí)行一個(gè)正確的請(qǐng)求

HTTP 500 - 服務(wù)器遇到錯(cuò)誤，無法完成請(qǐng)求

HTTP 500.100 - 內(nèi)部服務(wù)器錯(cuò)誤 - ASP 錯(cuò)誤

HTTP 500-11 服務(wù)器關(guān)閉

HTTP 500-12 應(yīng)用程序重新啟動(dòng)

HTTP 500-13 - 服務(wù)器太忙

HTTP 500-14 - 應(yīng)用程序無效

HTTP 500-15 - 不允許請(qǐng)求 global.asa

Error 501 - 未實(shí)現(xiàn)

HTTP 502 - 網(wǎng)關(guān)錯(cuò)誤

HTTP 503：由于超載或停機(jī)維護(hù)羹应，服務(wù)器目前無法使用，一段時(shí)間后可能恢復(fù)正常