HTTP/HTTPS 深度解析：报文、状态码与 TLS 握手

FreeGuideOnline 最新 2026-06-13

HTTP 与 HTTPS：从基础概念到加密通信

你每天都在使用 HTTP，点击链接、提交表单、观看视频，背后都是它。了解 HTTP 的报文结构、状态码语义以及如何升级到加密的 HTTPS，是 Web 开发与网络排错的基石。本教程将带你从零开始，深入报文细节，掌握常见状态码，并理解 TLS 握手如何保护你的数据。

一、HTTP 是什么？

HTTP（HyperText Transfer Protocol，超文本传输协议）是客户端（如浏览器）与服务器之间交换数据的规则。它是一种无状态的、应用层协议，通常基于 TCP 连接，默认端口是 80。

  • 客户端发送请求，服务器返回响应。
  • 每次请求-响应都是独立的，服务器不会自动保留之前的交互信息（这也是 Cookie、Session 等技术出现的原因）。
  • HTTP/1.1 和 HTTP/2 基于 TCP，HTTP/3 基于 QUIC（UDP）。

HTTP 的核心就是报文——客户端与服务器对话的语言。

二、HTTP 报文结构分解

不论是请求报文还是响应报文，都由三部分组成：起始行、头部字段、可选的消息体。

2.1 请求报文

POST /api/login HTTP/1.1
Host: example.com
Content-Type: application/json
Content-Length: 42
User-Agent: Mozilla/5.0

{"username":"alice","password":"secret"}
  • 请求行：方法 + 请求目标 + HTTP 版本
    常见方法：GET（获取资源）、POST（提交数据）、PUT（替换资源）、DELETE（删除资源）、HEAD（仅获取响应头）、OPTIONS（预检请求）等。
  • 请求头：以键值对形式传递附加信息，如主机名、内容类型、认证令牌等。
  • 空行（CRLF）：标志着头部结束。
  • 消息体：仅在 POST、PUT 等方法中存在，承载提交的数据。

2.2 响应报文

HTTP/1.1 200 OK
Date: Mon, 27 Feb 2023 12:00:00 GMT
Content-Type: text/html; charset=utf-8
Content-Length: 136

<html>
<head><title>Example</title></head>
<body><h1>Hello, World!</h1></body>
</html>
  • 状态行：HTTP版本 + 状态码 + 原因短语（如 200 OK）。
  • 响应头：服务器信息、内容类型、缓存控制等。
  • 空行
  • 响应体：实际的资源内容，比如 HTML、JSON、图片的二进制数据。

2.3 常见头部字段速览

  • 通用头：Cache-Control、Connection、Date
  • 请求头：Accept、Authorization、Cookie、Host、User-Agent
  • 响应头：Set-Cookie、Location（重定向）、Server、Access-Control-Allow-Origin（CORS）
  • 实体头：Content-Type、Content-Length、Last-Modified、ETag

头部是 HTTP 灵活性的关键，缓存、认证、跨域等机制都由头部控制。

三、状态码：服务器返回的“一句话回复”

状态码由三位数字组成，首位定义类别：

  • 1xx：信息性，请求已接收，继续处理。
  • 2xx：成功，请求已被正常处理。
  • 3xx：重定向，需要进一步操作。
  • 4xx：客户端错误，请求有语法错误或无法完成。
  • 5xx：服务器错误，服务器处理请求时出错。

你必须烂熟于心的状态码

状态码 原因短语 含义
200 OK 请求成功，返回数据在响应体中。GET 或 POST 成功时的标准响应。
201 Created 资源已成功创建（通常配合 POST）。响应头 Location 可能包含新资源的 URI。
204 No Content 请求成功但没有消息体，常用于删除操作或表单提交后无需刷新页面的场景。
301 Moved Permanently 永久重定向：资源已被永久移动到新 URL。搜索引擎会更新索引，浏览器会缓存该跳转。
302 Found 临时重定向：资源临时位于另一 URL。搜索引擎仅临时传递权重。
304 Not Modified 用于缓存校验。客户端发送条件请求（If-Modified-Since 或 If-None-Match），资源未修改则返回 304，无需传输体，客户端直接使用缓存。
400 Bad Request 请求报文语法错误，服务器无法理解。
401 Unauthorized 需要身份认证。响应头会包含 WWW-Authenticate 提示如何认证。
403 Forbidden 服务器理解请求但拒绝授权，权限问题，即使认证了也可能无权限。
404 Not Found 请求的资源不存在。
500 Internal Server Error 服务端代码错误，通用的服务器故障。
502 Bad Gateway 作为网关或代理的服务器从上游服务器收到无效响应。
503 Service Unavailable 服务器暂时超载或维护，无法处理请求。

进阶提示：302 与 307 的区别在于方法转换。302 在历史上可能会将 POST 转为 GET，而 307 严格保留原始方法。303 明确要求用 GET 获取重定向后的资源。

四、为什么需要 HTTPS？

HTTP 的报文以明文传输，任何人只要能在网络路径上抓包，就能看到你的密码、银行卡号等敏感信息。HTTPS 就是“披上 TLS 层的 HTTP”，它提供了三个核心保障：

  1. 加密（机密性）：通信内容被加密，中间人无法看懂。
  2. 身份认证：通过证书确保你正在与真实的服务器通信，而不是伪造的钓鱼网站。
  3. 数据完整性：防止报文在传输过程中被篡改。

HTTPS 默认使用 443 端口，URL 以 https:// 开头。

五、TLS 握手：HTTPS 的安全基石

当你访问一个 HTTPS 网站时，浏览器和服务器会在真正传输数据前进行一次 TLS 握手（TLS Handshake），以协商加密密钥和算法。以 TLS 1.2 的常见握手流程为例（省略会话复用等优化）：

5.1 握手四步曲

① Client Hello
客户端发起请求，发送：

  • 支持的 TLS 版本
  • 支持的密码套件列表（如 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256）
  • 一个随机数（Client Random）

② Server Hello
服务器回复：

  • 选定的 TLS 版本和密码套件
  • 另一个随机数（Server Random）
  • 服务器证书（包含公钥和服务器的身份信息，由 CA 签发）

③ 客户端验证与密钥交换

  • 客户端验证证书有效性（证书链、域名匹配、是否过期等）。
  • 生成第三个随机数，称为 Pre-Master Secret，使用服务器公钥加密后发送给服务器（如果是 RSA 密钥交换）。
  • 此时客户端和服务器都拥有三个随机数：Client Random、Server Random、Pre-Master Secret，双方用相同的算法推导出会话密钥（Session Key）。
  • 客户端发送 Change Cipher Spec 通知服务器后续报文将加密，并发送加密的 Finished 消息。

④ 服务器回应

  • 服务器使用自己的私钥解密出 Pre-Master Secret，再同样计算出会话密钥。
  • 发送 Change Cipher Spec 和加密的 Finished 消息。

此后，所有应用数据都使用对称加密的会话密钥进行传输，高效且安全。

5.2 关键概念解释

  • 对称加密：加解密使用同一把密钥，速度快，用于批量数据传输（如 AES）。
  • 非对称加密：公钥加密，私钥解密，用于握手阶段的密钥交换或数字签名（如 RSA、ECDHE）。
  • 数字证书：由 CA（证书颁发机构）签发的“身份证”，包含服务器公钥和域名等信息。证书信任链保证了公钥的真实性。
  • 前向安全性（Forward Secrecy）：使用 ECDHE 这类密钥交换算法时，即使服务器私钥未来泄露，过去的通信记录也无法被解密，因为每次会话的 Pre-Master Secret 都是临时生成的且不依赖私钥直接加密。

5.3 TLS 1.3 的简化

TLS 1.3 大幅精简了握手流程，取消了不安全的加密算法，默认支持前向安全性，并将握手压缩为 1-RTT（某些场景甚至 0-RTT）。其 Client Hello 中包含更多参数推测，减少了往返次数，连接建立更快。

六、从输入 URL 到页面呈现：HTTP/HTTPS 视角

结合报文与握手，我们简要梳理浏览器加载一个 HTTPS 网页的过程：

  1. 浏览器解析 URL，提取协议（https）、主机名和路径。
  2. DNS 解析域名得到 IP 地址。
  3. 建立 TCP 连接（三次握手）。
  4. 发起 TLS 握手，协商加密，验证证书。
  5. 发送一个 GET 请求报文（加密后）。
  6. 服务器返回 200 OK 及 HTML 内容。
  7. 浏览器解析 HTML，发现 CSS、JS、图片等资源，重复请求过程（可复用已有连接）。
  8. 渲染页面。

七、常见问题与排错思路

  • 混合内容（Mixed Content）：HTTPS 页面中加载了 HTTP 资源，浏览器会阻止或警告。解决：统一使用 HTTPS 路径。
  • 证书错误：证书过期、域名不匹配、自签名证书未被信任等。检查 Subject Alternative Name 是否包含当前域名。
  • TLS 版本不匹配：老旧服务器可能仅支持 TLS 1.0，而现代浏览器强制要求 TLS 1.2 以上。可通过 openssl s_client 探测。
  • 状态码 301/302 重定向链过长：多次重定向增加延迟，可能在被劫持时用于钓鱼。用浏览器的 Network 面板检查重定向路径。
  • 499 或 502 错误：499 通常为客户端主动断开连接；502 常见于 Nginx 作为反向代理时后端服务无响应。

工具推荐：curl -v 查看请求/响应头及 TLS 握手细节；Chrome DevTools 的 Security 面板快速检查证书及资源安全性。

通过理解 HTTP 报文的结构与语义、状态码的明确含义，以及 TLS 握手机制，你已经具备了分析 Web 请求、优化性能与排查安全问题的扎实基础。下一步，你可以尝试用浏览器开发者工具观察真实 HTTPS 握手中协商的密码套件，或用 Wireshark 抓包分析 TLS 握手过程。