HTTP 与 HTTPS：深入剖析两者的区别、传输差异与安全性
HTTP 与 HTTPS：深入剖析两者的区别、传输差异与安全性
在网络浏览的日常中，地址栏里的 http:// 或 https:// 几乎随处可见。但这两个看似微小的前缀，背后却代表了完全不同的数据传输方式和安全等级。本文将从技术原理、传输过程、安全特性等多个维度，为你详细拆解 HTTP 与 HTTPS 的区别，帮助你真正理解为什么 HTTPS 正在全面取代 HTTP。
HTTP和HTTPS的主要区别在于安全性、连接方式、默认端口和证书要求。HTTP使用明文传输且不安全，而HTTPS在HTTP之上结合了SSL/TLS协议，提供加密传输和身份认证。HTTPS需申请CA证书，端口为443，比80端口的HTTP更安全可靠，但也稍耗费服务器资源。
一、基础定义：什么是HTTP？什么是HTTPS？
什么是 HTTP？
HTTP（HyperText Transfer Protocol，超文本传输协议） 是互联网上应用最广泛的一种网络协议。它定义了客户端（如浏览器）和服务器之间如何通信、如何传输超文本（HTML、图片、视频等）。
HTTP 诞生于 1991 年，设计初衷是简单、快速。它采用请求-响应模型：客户端发一个请求，服务器返回对应的资源，然后连接可以断开。
HTTP的默认端口是80，无需任何加密或身份验证机制，数据传输完全透明，这也为它的安全性埋下了隐患。
什么是 HTTPS？
HTTPS（HyperText Transfer Protocol Secure，安全超文本传输协议） 可以理解为 HTTP 的安全升级版。它在 HTTP 的基础上增加了 TLS/SSL 加密层，所有传输的数据都会被加密，同时还能验证服务器身份，防止数据在传输途中被窃听、篡改或伪装。
二、核心区别：
| 对比维度 | HTTP | HTTPS |
| 全称 | HyperText Transfer Protocol | HyperText Transfer Protocol Secure |
| 加密 | 无加密，明文传输 | 使用 TLS/SSL 加密 |
| 端口 | 80 | 443 |
| 证书 | 不需要 | 需要 CA 签发的数字证书 |
| 安全性 | 低，易被窃听和篡改 | 高，防窃听、防篡改、防冒充 |
| 速度 | 较快（无加密握手开销） | 稍慢（有额外 TLS 握手和加密运算） |
| SEO 影响 | 搜索引擎不优先推荐 | Google 等明确将其作为排名信号 |
| 浏览器标识 | 地址栏无特殊标记（Chrome 新版本会标记“不安全”） | 显示锁图标，甚至可显示企业名称 |
三、传输过程的详细对比：
HTTP 的传输过程，一个典型的 HTTP 请求流程如下：
DNS 解析：浏览器将域名解析成服务器 IP。
TCP 三次握手：与服务器在 80 端口建立 TCP 连接。
发送 HTTP 请求：浏览器发送类似以下格式的请求：
GET /index.html HTTP/1.1 Host: www.example.com User-Agent: Chrome/... Accept: text/html
服务器处理并返回响应：
HTTP/1.1 200 OK Content-Type: text/html Content-Length: 1234 <html>...
关键问题： 整个过程中，从请求行、头部、到正文（如密码、Cookie）全部是明文。只要在网络中的任意节点（路由器、交换机、运营商、WiFi 热点）进行抓包，就能完整看到所有数据。
HTTPS 的传输过程，HTTPS 在 HTTP 和 TCP 之间插入了一个 TLS/SSL 安全层。主要步骤包括：
第一步：TCP 连接（端口 443）
仍然需要三次握手，但目标端口是 443。
第二步：TLS 握手（核心安全建立）
这是 HTTPS 最关键的部分，目的是协商加密算法、交换密钥、验证服务器证书：
Client Hello：客户端发送支持的 TLS 版本、加密套件列表、一个随机数（Client Random）。
Server Hello：服务器选择加密套件，发送自己的数字证书、另一个随机数（Server Random）。
证书验证：客户端验证证书是否由可信 CA 签发、域名是否匹配、是否过期。若失败则警告用户。
密钥交换（以最常见的 RSA 或 ECDHE 为例）：
客户端生成 Pre-Master Secret，用服务器证书中的公钥加密后发送给服务器。
双方使用 Client Random + Server Random + Pre-Master Secret 计算出相同的 会话密钥（对称加密密钥）。
Change Cipher Spec & Finished：双方通知对方后续通信将使用刚刚协商的会话密钥加密，并发送加密的测试消息确认。
第三步：加密的 HTTP 通信
TLS 握手完成后，所有 HTTP 请求和响应都被对称加密（如 AES-128-GCM）。攻击者即使截获数据包，看到的也只是乱码。
第四步：连接关闭时优雅地关闭 TLS 连接。
传输过程的核心差异总结：
| 环节 | HTTP | HTTPS |
| 连接端口 | 80 | 443 |
| 握手次数 | TCP三次握手 | TCP 三次握手 + TLS 多次握手（至少 2 RTT） |
| 数据可见性 | 完全文明 | 完全加密（除少量 TLS 记录头外） |
| 身份验证 | 无，任何人都可冒充服务器 | 有数字证书，可验证服务器真实身份 |
| 完整性保护 | 无，数据可被中间人随意篡改 | 有 MAC 或 AEAD 保证数据未被篡改 |
四、安全性详细分析
HTTP 的安全缺陷
窃听风险：任何在网络路径上的节点（如公共 WiFi 热点、恶意路由器、ISP）都能捕获并阅读通信内容，包括密码、信用卡号、私密聊天等。
篡改风险：中间人可以修改传输中的数据。例如，在网页中注入广告、篡改下载文件、重定向到钓鱼网站。这种攻击被称为 中间人攻击（MITM）。
冒充风险：HTTP 没有机制验证你访问的服务器是不是真正的目标服务器。攻击者可以通过 DNS 欺骗、ARP 欺骗等手段让你访问到假网站。
会话劫持：因为 Cookie 也是明文传输，攻击者可以轻易窃取 Session ID，从而冒充用户登录。
HTTPS 的安全机制
HTTPS 通过 TLS/SSL 协议提供了三层核心保护：
① 加密（防窃听）
使用混合加密：非对称加密（RSA/ECDHE）用于安全交换对称密钥，对称加密（AES/ChaCha20）用于实际数据传输，兼顾安全与性能。
结果是：中间人截获的数据包是密文，无法读取。
② 完整性校验（防篡改）
使用 MAC（Message Authentication Code） 或 AEAD（如 AES-GCM）算法，确保数据在传输过程中未被修改。
即使攻击者修改了一个比特，接收方解密后也能通过校验发现，并拒绝该数据包。
③ 身份认证（防冒充）
服务器必须持有由可信 CA（证书颁发机构） 签发的数字证书。
浏览器内置了受信任的 CA 根证书列表。验证证书有效性后，客户端确信自己连接的是真实服务器。
对于 EV 证书（扩展验证），地址栏还能显示企业名称。
HTTPS 是否绝对安全？
不是绝对，但极大提高了攻击门槛。常见风险包括：
证书体系被攻击：如果某个 CA 被攻破或违规签发假证书，攻击者可伪装成任何网站（历史上发生过）。但浏览器和操作系统会及时撤销问题证书。
SSL/TLS 协议漏洞：如 Heartbleed、POODLE、BEAST 等。这些需要及时更新服务端和客户端软件。
降级攻击：攻击者强迫双方使用弱加密套件甚至 HTTP。HSTS（HTTP Strict Transport Security）可以防范这种攻击。
端点安全：加密只在传输过程中。如果用户电脑本身有恶意软件，或服务器被入侵，数据依然会泄露。
五、现状与趋势
全站 HTTPS 成为标准：Google、Apple、Facebook、阿里、腾讯等主流平台早已全站 HTTPS。
浏览器强制标记：Chrome、Firefox、Edge 等已对 HTTP 页面明确标记“不安全”，并可能阻止某些功能（如地理位置、摄像头）。
HTTP/2 和 HTTP/3：HTTP/2 协议虽然不强制加密，但主流浏览器实现要求必须基于 HTTPS。HTTP/3（基于 QUIC）天然集成 TLS 1.3。
SEO 排名：Google 明确将 HTTPS 作为排名信号，使用 HTTPS 的网站有轻微排名优势。
核心区别一句话总结：HTTP 是明文、无状态、无加密的普通协议；HTTPS 是在 HTTP 基础上叠加 TLS/SSL 加密层，提供机密性、完整性和身份认证的安全协议。
适用场景建议：
1、什么时候仍然用 HTTP？
仅在内网或完全信任的封闭环境中传输公开信息（且不涉及任何敏感操作）。
某些老旧的嵌入式设备或遗留系统。
注意：即便内网，也建议用 HTTPS 防止内网嗅探。
2、什么时候必须用 HTTPS？
任何涉及登录、密码、个人隐私、支付信息、后台管理的网站或 API。
所有面向公众的网站（现代浏览器会警告用户）。
符合法规要求（如 GDPR、PCI-DSS 等）。
当前页面是本站的「Google AMP」版。查看和发表评论请点击：完整版 »
因本文不是用Markdown格式的编辑器书写的，转换的页面可能不符合AMP标准。