面试必问：说一下 HTTPS 的执行流程？

说到 HTTPS 相信大部分人都是不陌生，因为目前我们使用的绝大数网站都是基于 HTTPS 的，比如以下这些：

成都创新互联-专业网站定制、快速模板网站建设、高性价比山阳网站开发、企业建站全套包干低至880元,成熟完善的模板库,直接使用。一站式山阳网站制作公司更省心,省钱,快速模板网站建设找我们，业务覆盖山阳地区。费用合理售后完善，十年实体公司更值得信赖。

那么问题来了，他们为什么要使用 HTTPS 呢？HTTPS 有哪些过人之处呢？

1、HTTP

在说 HTTPS 之前，我们先要了解 HTTP，因为 HTTP 是 HTTPS 通讯的基础。HTTP（HyperText Transport Protocol）超文本传输协议，它用于传输客户端和服务器端的数据。HTTP 使用很简单也很方便，但却存在以下 3 个致命问题：

1. 使用明文通讯，内容可以被窃听。
2. 不验证通讯方的真实身份，可能会遭到伪装。
3. 无法证明报文的完整性，很容易被篡改。

鉴于以上问题，所以现在的系统会使用 HTTPS 来替代 HTTP。

2、HTTPS

首先来说，HTTPS 并不是一种新的协议，而是在 HTTP 协议的基础上添加了加密机制 SSL（Secure Socket Layer）或 TLS（Transport Layer Security）。HTTPS = HTTP + 加密 + 认证 + 完整性保护。

SSL 和 TLS

SSL（Secure Socket Layer）最早是由浏览器开发厂商网景公司开发的，此公司开发了 SSL 3.0 及 3.0 之前的版本，之后便将 SSL 交给了 IETF（Internet Engineering Task Force）Internet 工程任务组的手中，IETF 以 SSL 3.0 为基础开发了 TLS 1.0，所以可以认为 TLS 是 SSL 的“新版本”。

（1）解决信任问题

作为 HTTPS 来说，首先要解决的就是信任问题，也就是身份效验的问题，如果不解决信任问题就会存在服务器伪装，也就是“中间人攻击”的问题。所谓的中间人攻击指的是，正常情况下本该是客户端和服务端直接进行交互的，但此处冲出来一个“坏人”（中间人），它包含在客户端和服务器端之间，用于盗取和篡改双方通讯的内容，如下图所示：

HTTPS 解决信任问题采用的是数字证书的解决方案，也就是服务器在创建之初，会先向一个大家都认可的第三方平台申请一个可靠的数字证书，然后在客户端访问（服务器端）时，服务器端会先给客户端一个数字证书，以证明自己是一个可靠的服务器端，而非“中间人”。此时浏览器会负责效验和核对数字证书的有效性，如果数字证书有问题，那么客户端会立即停止通讯，如果没问题才会执行后续的流程，如下图所示：

有了数字证书之后，就可以验证服务器端的真实身份了，这样就解决了“中间人攻击”的问题，也解决了伪装的问题。

（2）解决明文传输和完整性问题

虽然上面我们已经解决了信任问题，然而因为通讯双方是明文通讯的，所以在通讯时依然存在通讯内容被窃听的风险，此时应该怎么办呢？于是我们想到，使用加密来解决信息暴露的问题。

加密的分类

加密主要分为两大类：对称加密和非对称加密。

• 在对称加密中，有一个共享秘钥，通过这把共享秘钥可以实现信息的加密和信息的解密，它的特点是加密和解密的速度很快，但因为共享秘钥的问题，一旦共享秘钥被截获，那么所谓的加密和解码也就是一纸空谈了。
• 在非对称加密中，有一对秘钥：公钥和私钥，使用公钥可以加密信息，但不能解密信息，使用私钥可以解密信息。它的特点是服务器端保存私钥，不对外暴露，只将公钥发送给客户端，而其他人即使拿到公钥，也解密不了加密的信息，所以此方式更安全，但非对称加密的执行速度比较慢。

那在 HTTPS 中要使用对称加密还是非对称加密呢？使用对称加密，速度快，但不安全；使用非对称加密安全，但速度慢。只有小孩做选择，成年人都要，所以 HTTPS 中既使用了非对称加密也使用了对称加密，它的整个交互流程是这样的：

HTTPS 执行流程如下：

1. 客户端使用 HTTPS 访问服务器端。
2. 服务器端返回数字证书，以及使用非对称加密，生成一个公钥给客户端（私钥服务器端自己保留）。
3. 客户端验证数字证书是否有效，如果无效，终止访问，如果有效：

1. 使用对称加密生成一个共享秘钥；
2. 使用对称加密的共享秘钥加密数据；
3. 使用非对称加密的公钥加密（对称加密生成的）共享秘钥。
4. 发送加密后的秘钥和数据给服务器端。

1. 服务器端使用私钥解密出客户端（使用对称加密生成的）共享秘钥，再使用共享秘钥解密出数据的具体内容。
2. 之后客户端和服务器端就使用共享秘钥加密的内容内容进行交互了。

这样，HTTPS 既保证了安全性，同时又保证了高效性，可谓鱼和熊掌兼得。

使用加密的方式也间接的保证了数据的完整性问题，如果是不完整的数据或有多余的数据，那么在解密时会报错，这样就能间接的保证数据的完整性了。

总结

使用 HTTP 协议存在明文通讯和中间人攻击等问题，但这些问题在 HTTPS 中得到了有效的解决，HTTPS 通过数字证书解决了中间人攻击的问题，使用加密手段解决了明文通讯和数据完整性的问题。

网站题目：面试必问：说一下 HTTPS 的执行流程？
标题链接：http://www.shufengxianlan.com/qtweb/news22/487822.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联