计算机网络-HTTP协议

HTTP是一种不保存状态，即无状态的协议。HTTP协议自身不对请求和响应之间的通信进行保存。为了保存状态因此后面也有一些技术产生比如Cookies技术。

HTTP是通过URI定位网上的资源，理论上将URI可以访问互联网上的任意资源。

如果不是访问特定的资源而是对服务器本身发起请求，可以使用一个来代替请求URL。

bash 复制代码

OPTIONS * HTTP/1.1

GET方法用来请求访问已被URI识别的资源。

POST方法用来传输实体的主体。虽然GET方法也可以传输实体的主体，但是一般不用GET方法传输，而是用POST方法。

注解：也就是GET主要是用于访问资源，POST一般携带实体, 但是也没有区分的这样严格只是一个习惯，例如在REST风格中GET经常携带信息访问资源。

HEAD和GET方法一样，只是不返回报文主体部分，用于确认URI的有效性及资源更新的日期和时间。

DELETE方法用来删除文件，是与PUT相反的方法。DELTE方法按请求URI删除指定的资源。

PUT方法用来传输文件。由于PUT方法自身不带验证机制，任何人都可以上传文件，存在安全性问题，因此一般的WEB网站不使用该方法。配合WEB应用程序验证机制，就可以放开PUT方法。

OPTIONS方法用来查询请求URI指定的资源支持的方法。

TRACE 方法是让WEB 服务端将之前的请求通信返回给客户端的方法。

客户端通过TRACE方法可以查询发送出去的请求是怎样被加工修改的。这是因为想要连接到源服务器可能会通过代理中转，TRACE方法是用来确认连接过程中发生的一系列操作。

但是由于TRACE 方法本来就不常用，加上容易被XST攻击，一般不常用。

Cross-Site Tracing (XST) 概述

定义:
Cross-Site Tracing (XST) 是一种攻击手段，利用 HTTP TRACE 方法来获取敏感信息。TRACE 方法是一种调试工具，用于回显服务器收到的请求内容。
工作原理:
当客户端发送一个 TRACE 请求时，服务器会将接收到的请求头原样返回给客户端。
攻击者可以通过诱导用户点击恶意链接，使用户的浏览器向目标服务器发送 TRACE 请求，从而获取用户的敏感信息（如 cookies、认证令牌等）。
风险:
如果服务器支持 TRACE 方法且未进行适当的安全配置，攻击者可以利用这一方法窃取用户的会话信息，进而进行进一步的攻击。
防护措施:
禁用 TRACE 方法: 最直接的方法是在服务器上禁用 TRACE 方法。

CONNECT 方法要求在代理服务器通信时建立隧道，实现隧道协议进行TCP通信。主要是SSL 和TLS 协议把通信内容加密以后经网络隧道传输。

向请求URI指定的资源发送请求报文时，采用成为方法的命令。

HTTP 请求出事版本中，每一次HTTP都要建立和断开一次TCP连接。

这样造成了连接资源的浪费，所以出现了持久连接 HTTP keep-alive。持久连接的特点是，只要任意一端没有明确提出断开连接，则保持TCP连接。

在HTTP/1.1中，所有的连接默认都是持久连接。但是在HTTP/1.0总并没有标准化。持久化连接需要服务端的支持，同时客户端也需要支持。

持久连接使得多数请求以管线化方式发送成为可能。也就是不一定要等响应返回以后才能发送下一个请求，管线化就可以并行发送锁哥请求。

HTTP 是无状态协议，它不对之前发生过的请求和响应的状态进行管理。所以有了Cookies 技术通过在请求和响应报文中写入Cookie信息来控制客户端状态。

Cookie 会根据从服务器发送的响应报文内的一个叫做Set-Cookie的首部字段信息，通知客户端保存Cookie。下次请求的时候携带Cookie，这样服务端就知道是从那个客户端发送过来的。