《图解HTTP》读书笔记（四）——关于HTTPS及用户身份认证

前言

本文属于本系列的第四篇。主要涉及HTTPS和用户身份认证的知识。如有错误，请随时指出。

确保Web安全的HTTPS

1.HTTP的缺点

在采用明文通信时也存在被窃听的风险

而现代密码学的主要应用领域主要包括两种——通讯密码与数据密码。通讯密码的具体实现途径是采用SSL/TSL协议与HTTP技术结合运行，在SSL协议建立安全通讯通道后即可在此通道上开展正常的HTTP数据传输（本文所指HTTPS即为两者结合应用的具体实例）。数据层面的安全防护机制则更加直观易懂，在这一过程中对参与传输的数据内容本身进行密保护持即可实现（注释：其中报文头部信息不需保护，在实际操作中对报文中正文部分实施数据加密处理）。值得注意的是，在数据层面的安全防护措施虽然能够有效防止信息被窃取风险出现但并不能完全保障传输过程中的数据完整性不受破坏。

不认证通信双方的身份可能存在风险, 因此可能会遭遇伪装攻击. 在HTTP协议中, 请求方与响应方之间不会对通信双方进行身份验证, 这会导致存在以下疑问: 服务器是否确为发送请求URI中指定的主机, 返回的响应是否属于真正发起请求的那