HTTP 面试知识点提炼

2023-09-20 15:25:52

前言

由于很多小伙伴看了 《普通人如何进大厂》这篇文章对我的笔记比较感兴趣，所以我花时间整理提炼了一下跟大家分享，不保证内容完全正确，仅供参考哈

其他笔记传送门

从输入 URL 到页面加载完成，发生了什么？

1、HTTP 请求准备阶段

  • 构建请求

浏览器构建请求行信息，准备发起网络请求 GET /index.html HTTP1.1

  • 查找缓存

如果浏览器发现请问资源在浏览器中存在副本，根据强缓存规则，如没有过期那么直接返回资源，如何查找

失败进入下一个环节：

  • 准备 ip 地址和端口
  • DNS（域名和ip的映射系统） 域名解析，拿到ip之后找端口，默认为80
  • 建立tcp链接（三次握手）
  • 如果是https 还需要建立TLS连接

2、HTTP 发送请求

  • 浏览器向服务端发起http请求，把请求头和请求行一起发送个服务器，服务端解析请求头如发现cache-control和etag（if-none-match），if-modified（if-modified-since）字段就会判断缓存是否过期，如果没有返回304，否则返回200

3、HTTP 响应返回

  • 浏览器拿到响应数据，首先判断是否是4XX或者5XX是就报错，如果是3XX就重定向，2XX就开始解析文件，如果是gzip就解压文件

  • TCP断开连接

    4次挥手

  • 浏览器解析渲染

    建立根据html建立dom树和css树，如果遇到script首选判断是否defer和async否则会阻塞渲染并编译执行js，如果没有则组合生成render tree，最后浏览器开启GPU进行绘制合成图层，将内容显示屏幕。

HTTP0.9 特性

  • 没有请问头和请求体只有请求行
  • 只能发送html文件

HTTP1.0 特性

  • 可以发送javaScript、CSS、图片、音频
  • 加上请求头和请求体
  • 状态码
  • cache 机制
  • 每进行一次 HTTP 通信，都需要经历建立 TCP 连接、传输 HTTP 数据和断开 TCP 连接三个阶段

HTTP1.1 特性

  • 持久连接的方法，它的特点是在一个 TCP 连接上可以传输多个 HTTP 请求，只要浏览器或者服务器没有明确断开连接，那么该 TCP 连接会一直保持（提高性能）

  • 持久连接虽然能减少 TCP 的建立和断开次数，但是它需要等待前面的请求返回之后，才能进行下一次请求。如果 TCP 通道中的某个请求因为某些原因没有及时返回，那么就会阻塞后面的所有请求，这就是著名的队头阻塞的问题（在 HTTP 1.1 中，每一个链接都默认是长链接，因此对于同一个 TCP 链接，HTTP 1.1 规定：服务端的响应返回顺序需要遵循其接收到相应的顺序。但这样存在一个问题：如果第一个请求处理需要较长时间，响应较慢，将会“拖累”其他后续请求的响应，这是一种队头阻塞。）

  • 引入了 Cookie、虚拟主机的支持、对动态内容的支持

  • 浏览器为每个域名最多同时维护 6 个 TCP 持久连接（提高性能）

  • 使用 CDN 的实现域名分片机制。（提高性能）

  • 对带宽的利用率却并不理想（tcp 启动慢、头部堵塞、tcp 竞争）

HTTP2 特点

  • 只使用一个 TCP 长连接来传输数据，实现资源的并行请求，也就是任何时候都可以将请求发送给服务器，解决头部堵塞（多路复用）

  • 二进制传输

  • 多路复用（原理二进制分帧层，携带id的帧流到服务器）

单一的长连接，减少了 SSL 握手的开销，多路复用能大幅提高传输效率，不用等待上一个请求的响应，加大cpu 的使用率

  • 头部压缩

头部被压缩，减少了数据传输量

  • 服务端推送

有了二进制分帧层还能够实现请求的优先级、服务器推送、头部压缩等特性，从而大大提升了文件传输效率

但是HTTP2还是会存在 tcp 堵塞（理解，http 堵塞就是需要等待前面的http包发送完成而造成的等待，tcp 堵塞是TCP 传输过程中，由于单个数据包的丢失而造成的阻塞）

HTTP3

QUIC 看成是集成了“TCP+HTTP/2 的多路复用 +TLS 等功能

TCP与UDP的区别

1、基于连接与无连接；

2、对系统资源的要求（TCP较多，UDP少）；

3、UDP程序结构较简单；

4、流模式与数据报模式 ；

5、TCP保证数据正确性，UDP可能丢包；

6、TCP保证数据顺序，UDP不保证。

TCP 握手过程

  • 建立tcp链接（三次握手，客户端发送 syn=j 给服务端然后处于 syn_send 状态；

  • 服务端接受到syn，然后发送自己的syn包syn=k，和 ack=j+1（确认客户端包），状态为 syn_recv；

  • 客户端收到ack和syn则发送 ack=k+1给服务端表示确认，服务端和客户端都进入了establish状态），

  • 为什么要3次握手：确认客户端的接收、发送能力正常，服务器自己的发送、接收能力也正常

HTTP 缓存

强缓存（浏览器内部完成）

max-age：数值，单位是秒，从请求时间开始到过期时间之间的秒数。基于请求时间（Date字段）的相对时间间隔，而不是绝对过期时间

expires：和max-age一样指缓存过期时间，但是他的指定了具体时间GMT格式，HTTP/1.1，Expire已经被Cache-Control替代，原因在于Expires控制缓存的原理是使用客户端的时间与服务端返回的时间做对比，那么如果客户端与服务端的时间因为某些原因（例如时区不同；客户端和服务端有一方的时间不准确）发生误差，那么强制缓存则会直接失效，这样的话强制缓存的存在则毫无意义

协商缓存（需要询问服务器）

Last-Modified/If-Modified-Since（服务端时间对比）：本地文件在服务器上的最后一次修改时间。缓存过期时把浏览器端缓存页面的最后修改时间发送到服务器去，服务器会把这个时间与服务器上实际文件的最后修改时间进行对比，如果时间一致，那么返回304，客户端就直接使用本地缓存文件。（浏览器最后修改时候和服务端对比，如果一致则走缓存）

问题：

  • 现在大多数服务端都采用了负载均衡策略,可能导致不同虚拟主机返回的Last-Modified时间戳不一致,导致对比失败~
  • 文件也许会周期性的更改，但是他的内容并不改变，不希望客户端重新get

Etag/If-None-Match：(EntityTags，内容摘要)是URL的tag，用来标示URL对象是否改变，一般为资源实体的哈希值。和Last-Modified类似，如果服务器验证资源的ETag没有改变（该资源没有更新），将返回一个304状态告诉客户端使用本地缓存文件。Etag的优先级高于Last-Modified，Etag主要为了解决 Last-Modified无法解决的一些问题。

文件缓存策略

  1. 有文件指纹：index.html 用不用缓存，其他用强缓存+文件指纹
  2. 无指纹：index.html 用不用缓存，其他用协商etag缓存（文件变了就缓存）

HTTPS

原理

服务器端的公钥和私钥，用来进行非对称加密

客户端生成的随机密钥，用来进行对称加密

  • A 与 B 通信（被监听）

  • A 给 B 一个对成密钥（对称加密）（密钥可能被劫持）

  • A 有自己的公钥和私钥（并且只要自己的私钥解开公钥）B也是有自己的公私钥，但每次通信都要解密特别麻烦（非对称加密）

  • A 直接把公钥发给B，然后让B通过公钥加密‘对称密钥’，效率就快很多

  • 那么这里又存在一个问题 A 传给 B 的公钥被截取了然后冒充 A跟B通信

  • 所以就有了ca验证中心证明 A就是A

完整流程：

那么A直接把公钥发和证书给 B，B 通过 ca 验证A身份后后，通过A的公钥加密‘对称密钥’发给A，A用自己的私钥解密得到了‘对称密钥’，以后就通过对称加密方式交流

通讯流程

  • 浏览器发起请求

  • 服务器返回公钥+签名证书

  • 浏览器向CA认证中心询问证书是否有效

  • CA认证返回结果

  • 浏览器用公钥加密对称秘钥

  • 服务器用自己的私钥解密 对称称秘钥，发起通讯

http 请求方法

post 和 put 的区别

  • 都能新增和修改数据

  • put 无副作用，调用一次和多次效果相同，post 调用每次都会新增

  • post 面向资源集合，put 面向单资源

put 和 patch 的区别

他两都是同来更新数据的，而patch是同来更新局部资源比如某个对象只更改了某个字段则可以用 patch

常见状态吗

  • 206 部分内容，代表服务器已经成功处理了部分GET请求，可以应用断点陆续上传
  • 301 永久重定向
  • 302 临时重定向
  • 304 命中协商缓存
  • 400 请求报文存在语法错误
  • 401 需求http认证
  • 403 请求资源被服务器拒绝
  • 404 服务端找不到资源
  • 500 服务端执行请求发送错误
  • 501 请求超出服务端能力范围（不支持某个方法）
  • 502 作为网关或者代理工作的服务器尝试执行请求时，从远程服务器接收到了一个无效的响应
  • 503 由于超载或系统维护，服务器暂时的无法处理客户端的请求

HTTP 缓存

http 缓存过程

  1. 客户端向服务端发起第一次请求资源
  • 服务端返回资源，并通过响应头返回缓存策略
  • 客服端根据缓存策略将策略和资源缓存起来

结论：

  • 浏览器每次发起请求，都会先在浏览器缓存中查找该请求的结果以及缓存标识
  • 浏览器每次拿到返回的请求结果都会将该结果和缓存标识存入浏览器缓存中

  1. 当客户端再次向服务端发起请求时

  • 客户端判断是否有缓存，有则判断是否存在 cache-control，并根据max-age 判断其是否已过期，没有过期直接读取缓存，返回200

  • 若已过期则携带缓存策略if-none-match发送到服务端

  • 服务端根据 etag 与if-none-match 相同则返回304继续使用缓存，更新新鲜度

  • 不相同则重新返回资源

缓存位置

  • from memory cache代表使用内存中的缓存，

  • from disk cache则代表使用的是硬盘中的缓存，浏览器读取缓存的顺序为memory –> disk

  • 内存缓存(from memory cache)：内存缓存具有两个特点，分别是快速读取和时效性：

  • 快速读取：内存缓存会将编译解析后的文件，直接存入该进程的内存中，占据该进程一定的内存资源，以方便下次运行使用时的快速读取。

  • 时效性：一旦该进程关闭，则该进程的内存则会清空。

  • 硬盘缓存(from disk cache)：硬盘缓存则是直接将缓存写入硬盘文件中，读取缓存需要对该缓存存放的硬盘文件进行I/O操作，然后重新解析该缓存内容，读取复杂，速度比内存缓存慢。

在浏览器中，浏览器会在js和图片等文件解析执行后直接存入内存缓存中，那么当刷新页面时只需直接从内存缓存中读取(from memory cache)；而css文件则会存入硬盘文件中，所以每次渲染页面都需要从硬盘读取缓存(from disk cache)

Web安全防御

xss 跨域脚本攻击（利用网站对用户的信任）

  1. 非持久型 - url参数直接注入 脚本，伪造成正常域名诱惑用户点击访问（浏览器默认防范？）
  2. 持久型 - 存储到DB后读取时注入 （灾难） 两者都是通过脚本获取cookies 然后通过img或者ajax请求发送到黑客服务器 防范手段：

  • html字符转译，或者只过滤script这些脚步

  • 限制资源请求来源csp

  • cookies 防范： value 如果用于保存用户登录态，应该将该值加密，不能使用明文的用户标识 http-only 不能通过 JS 访问 Cookie，减少 XSS 攻击
    Content-Security-Policy: img-src https://* 只允许加载 HTTPS 协议图片 Content-Security-Policy: default-src ‘self’ 只允许加载本站资源

  • 前端方案：设置 meta 标签的方式

Csrf 跨域请求伪造（利用用户对网站的信任）：

即跨站请求伪造，是一种常见的Web攻击，它利用用户已登录的身份，在用户毫不知情的情况下，以用户的名义完成非法操作 在A网站没有退出的情况下，引诱用户访问第三方网站（评论发链接）

访问页面自动发起请求 第三方默认给A发起请求

防御：

  • Get 请求不对数据进行修改

  • 不让第三方网站访问到用户 Cookie

  • 阻止第三方网站请求接口

  • 请求时附带验证信息，比如验证码或者 Token

http 和 websocket 的区别

相同点主要

  1. 都是基于TCP的应用层协议；

  2. 都使用Request/Response模型进行连接的建立；

  3. 在连接的建立过程中对错误的处理方式相同，在这个阶段WS可能返回和HTTP相同的返回码；

  4. 都可以在网络中传输数据。

不同之处

  1. WS使用HTTP来建立连接，但是定义了一系列新的header域，这些域在HTTP中并不会使用；

  2. WS的连接不能通过中间人来转发，它必须是一个直接连接；

  3. WS连接建立之后，通信双方都可以在任何时刻向另一方发送数据；

  4. WS连接建立之后，数据的传输使用帧来传递，不再需要Request消息；

  5. WS的数据帧有序。

作者：Ali酱
链接：https://juejin.cn/post/7035067081200500750
来源：稀土掘金
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

更多推荐

API安全

1API的简介API代表应用程序编程接口，它由一组允许软件组件进行通信的定义和协议组成。作为软件系统之间的中介，API使软件应用程序或服务能够共享数据和功能。但是API不仅仅提供连接基础,它还管理软件应用程序如何被允许进行通信和交互。API控制程序之间交换请求的类型、请求的方式以及允许的数据格式。例如，智能手机上的天气

小谈设计模式（2）—简单工厂模式

小谈设计模式（2）—简单工厂模式专栏介绍专栏地址专栏介绍简单工厂模式简单工厂模式组成抽象产品（AbstractProduct）具体产品（ConcreteProduct）简单工厂（SimpleFactory）三者关系核心思想Java代码实现首先，我们定义一个抽象产品接口Product，其中包含一个抽象方法use()：然后

Redis的缓存、消息队列、计数器应用

目录一、redis的应用场景二、redis如何用于缓存三、redis如何用于消息队列四、redis如何用于计数器一、redis的应用场景Redis在实际应用中有广泛的应用场景，以下是一些常见的Redis应用场景：缓存：Redis可以用作缓存层，将频繁读取的数据存储在内存中，提高数据读取速度，减轻数据库负载。计数器：Re

Vulnhub系列靶机---HarryPotter-Fawkes-哈利波特系列靶机-3

文章目录信息收集主机发现端口扫描dirsearch扫描gobuster扫描漏洞利用缓冲区溢出edb-debugger工具msf-pattern工具docker容器内提权tcpdump流量分析容器外-sudo漏洞提权靶机文档：HarryPotter:Fawkes下载地址：Download(Mirror)难易程度：难上难信

Redis 集合操作实战（全）

目录SADD插入集合SCARD取元素数量SPOP随机移除元素SREM移除多个元素SMOVE移动元素到别的集合SMEMBERS取所有成员SRANDMEMBER取指定数量元素SISMEMBER判断元素是否存在SUNION多集合求并集SUNIONSTORE多集合求并集（存储）SINTER多集合求交集SINTERSTORE多集

PY32F003F18之比较器问题

PY32F003F18的模拟模块，其内部参考电压容易受到电源电压影响。当我连接"USB转串口的RXD"时，PC接收到模拟数据均正常；当我连接“USB转串口的TXD”时，发现内部参考电压的AD值为0xFFF。断开连接的“USB转串口的TXD”，模拟功能模块又恢复正常。于是用万用表测量“USB转串口的TXD”的电压，开路电

Spring高手之路10——解锁Spring组件扫描的新视角

文章目录1.组件扫描路径2.按注解过滤组件（包含）3.按注解过滤组件（排除）4.通过正则表达式过滤组件5.Assignable类型过滤组件6.自定义组件过滤器7.组件扫描的其他特性7.1组合使用组件扫描8.组件扫描的组件名称生成8.1Spring是如何生成默认bean名称的（源码分析）8.2生成默认bean名称的特殊情

一文巩固Spring MVC的Bean加载机制

目录一、什么是SpringMVC的Bean二、SpringMVC的Bean加载机制三、SpringMVC如何动态装载Bean一、什么是SpringMVC的Bean在SpringMVC中，Bean指的是在SpringIoC容器中创建和管理的对象。这些对象可以是普通的Java类，也可以是服务层组件、数据访问对象（DAO）或

手动实现 Spring 底层机制【初始化 IOC容器+依赖注入+BeanPostProcessor 机制+AOP】之实现任务阶段 5- bean 后置处理器

😀前言手动实现Spring底层机制【初始化IOC容器+依赖注入+BeanPostProcessor机制+AOP】的第五篇具体实现了任务阶段5-bean后置处理器🏠个人主页：尘觉主页🧑个人简介：大家好，我是尘觉，希望我的文章可以帮助到大家，您的满意是我的动力😉😉在csdn获奖荣誉:🏆csdn城市之星2名⁣⁣⁣

kafka rabbitmq 详细对比

Kafka&rabbitmqkafkaProducer：消息生产者，将消息push到Kafka集群中的Broker。Consumer：消息消费者，从Kafka集群中pull消息，消费消息。ConsumerGroup：组团消费，每个Consumer都属于一个ConsumerGroup。消费者组在逻辑上是同一个订阅者。消费

JavaScript学习记录 | DOM事件流 事件冒泡-事件捕获-事件委托

目录DOM事件流常见面试题事件冒泡与事件捕获事件冒泡使用场景事件捕获使用场景事件冒泡和事件捕获区别事件委托-利用事件冒泡机制事件委托应用场景支持事件委托的事件事件委托的优缺点DOM事件流DOM事件流的三个阶段：捕获阶段->目标阶段->冒泡阶段常见面试题事件冒泡和委托是什么？有什么使用场景？事件委托的优点和缺点JS事件绑

热文推荐
  1. Linux查看哪些进程占用的系统 buffer/cache 较高 (hcache，lsof）命令

    1、什么是buffer/cache？buffer/cache其实是作为服务器系统的文件数据缓存使用的，尤其是针对进程对文件存在read/write操作的时候，所以当你的服务进程在对文件进行读写的时候，Linux内核为了提高服务的读写速度，则将会把文件放在此处的buffer/cache中进行缓存使用，由于Linux服务的

  2. ICCV 2023 | MPI-Flow：从单视角构建的多平面图像中学习光流

    ICCV2023|MPI-Flow：从单视角构建的多平面图像中学习光流引言：主要贡献：Motivation：算法细节：OpticalFlowDataGenerationIndependentObjectMotionsDepth-AwareInpainting实验结果：来源：ICCV2023作者：YingpingLian

  3. linux搭建单机ES，集成ik分词器，文本抽取，Kibana可视化平台

    Elasticsearch单机（Linux）准备工作第一项：创建运行Elasticsearch和Kibana专用的普通用户，因为elasticsearch和kibana不允许使用root用户启动，所以需要创建新用户启动。linux用root权限创建一个用户赋权即可，注意权限要给足第二项（启动没有报相关错误此项可以不做调

  4. Visual Studio 更新：远程文件管理器

    VisualStudio中的远程文件管理器可以用来访问远程机器上的文件和文件夹，通过VisualStudio自带的连接管理器，可以实现不离开开发环境直接访问远程系统，这确实十分方便。自从此功能发布以来，VS开发团队努力工作，今天又为我们带来了新的功能，让我们来看看。>>请移步至topomel.com以查看图片<<背景知

  5. ARM64汇编基础

    ARM64汇编基础主要内容到目前为止，大部分的移动设备都是64位的arm架构，一直想抽个时间系统学习下，这个周末就专门来学习下。毕竟两天的时间，也只是简单的入门了解下，为后续工作和学习打下基础。本次学习的主要内容包括寄存器、指令系统以及堆栈函数相关的知识，了解这些知识后，后面就可以扩展进行学习了。话不多说，接下来介绍这

  6. 【Ubantu 18.04】配置sh脚本开机启动

    一、services服务脚本编写1、进入服务管理目录，创建service文件sudonano/etc/systemd/system/ads.service例如文件名为：ads.service，文件内容如下：[Unit]Description=AdsServiceAfter=network.target[Service]

  7. Git学习笔记10

    代码更新方法：蓝绿部署：蓝绿部署，英文名：BlueGreenDeployment，是一种可以保证系统在不间断提供服务的情况下上线代码的部署方式。如何保证系统不间断提供服务呢？蓝绿部署的模型中包含两套集群。在正常情况下（没有上线操作），集群A和集群B的代码版本是一致的，并且同时对外提供服务。在有项目代码上线的时候，我们首

  8. C++ 基本的输入输出

    C++基本的输入输出C++标准库提供了一组丰富的输入/输出功能，我们将在后续的章节进行介绍。本章将讨论C++编程中最基本和最常见的I/O操作。C++的I/O发生在流中，流是字节序列。如果字节流是从设备（如键盘、磁盘驱动器、网络连接等）流向内存，这叫做输入操作。如果字节流是从内存流向设备（如显示屏、打印机、磁盘驱动器、网

  9. 【PX4】PX4第一个offborad例程

    【PX4】PX4第一个offborad例程文章目录【PX4】PX4第一个offborad例程1.什么是OFFBOARD2.第一个offboard例程3.编写launch文件Reference1.什么是OFFBOARDPX4的OFFBOARD指的是外部控制模式，飞行器根据飞行控制栈外部（如机载计算机）提供的设定值控制位置