HTTP（超文本传输协议）和 HTTPS（超文本传输安全协议）是网络上最常用的协议，它们为网页浏览、数据传输提供基础支持。虽然只有一字之差，但 HTTPS 却对 HTTP 做出了巨大的改进，尤其在安全性方面。本文将详细介绍 HTTP 和 HTTPS 的区别，HTTPS 如何改进 HTTP，以及这些改进背后的原因和好处。
一、HTTP 到 HTTPS 的发展历程
HTTP 最早由蒂姆·伯纳斯-李（Tim Berners-Lee）于 1991 年提出，目的是传输超文本数据，设计之初的 HTTP 十分简单，专注于数据传输，但没有考虑安全性。随着互联网的发展，信息安全逐渐受到重视，人们发现 HTTP 协议存在很多安全漏洞。
HTTPS 正是为了解决 HTTP 的安全缺陷而诞生，它的核心思想是在 HTTP 的基础上增加SSL/TLS 协议 ，为数据传输提供加密 、认证 和完整性保护。HTTPS 最早由网景公司在 1994 年提出，如今已成为 Web 世界的主流。
二、HTTP 存在哪些安全问题？
在讲 HTTPS 如何改进 HTTP 之前，我们需要了解 HTTP 本身存在哪些安全问题：
1. 数据明文传输（容易被窃听）
HTTP 协议传输的数据是明文的，任何处于客户端与服务器之间的人都可以轻松窃取数据，比如：
- 用户名和密码
- 银行账号、信用卡信息
- 个人隐私数据
2. 身份无法验证（容易遭遇伪造攻击）
HTTP 并不验证通信双方的身份。攻击者可以轻松地伪造服务器或客户端：
- 攻击者伪装成真实网站（钓鱼攻击）
- 用户无法确定访问的网站是否为真正的网站
3. 数据完整性无法保证（容易遭遇篡改攻击）
HTTP 协议无法验证传输的数据是否被中途修改，攻击者可以：
- 在传输过程中任意篡改数据（中间人攻击）
- 向用户插入恶意代码或广告
这些缺陷使 HTTP 不适合用于传输敏感数据。因此，HTTPS 通过在 HTTP 协议基础上增加 SSL/TLS 来彻底解决上述问题。
三、HTTPS 对 HTTP 做了哪些改进？
HTTPS 并非重新设计，而是在 HTTP 之上增加了一层 SSL/TLS 协议，对 HTTP 做出了以下关键改进：
1. 增加了数据加密机制（防止窃听）
实现方式：
HTTPS 使用非对称加密 和对称加密结合的方式：
- 在通信开始时，利用非对称加密（RSA或ECDHE算法）交换密钥。
- 后续通信使用对称加密（AES）加密数据。
为什么这么做？
- 非对称加密（如 RSA）安全性高但速度慢，因此仅用于交换对称密钥。
- 对称加密（如 AES）速度快、效率高，适合加密大量数据。
好处：
- 传输数据全程加密，中间人无法轻易窃取用户信息。
2. 提供了身份认证机制（防止伪造）
实现方式：
HTTPS 使用 SSL/TLS 数字证书（Digital Certificate）对服务器进行身份认证：
- 数字证书由可信的第三方机构（CA，证书颁发机构）签发。
- 客户端访问服务器时，会检查服务器的证书有效性。
为什么这么做？
- HTTP 本身无法验证服务器身份，攻击者容易伪造服务器，实施钓鱼攻击。
- 引入数字证书机制后，用户能确定网站的真实身份。
好处：
- 有效防止钓鱼网站和中间人攻击，提高用户信任度。
3. 数据完整性保护（防止篡改）
实现方式：
HTTPS 协议使用了消息认证码（MAC，Message Authentication Code）对传输的数据进行完整性验证：
- MAC是一种校验机制，任何数据的微小改动都会导致校验失败。
- SSL/TLS协议内置MAC算法来验证数据是否在传输过程中被篡改。
为什么这么做？
- 防止攻击者篡改 HTTP 报文、插入恶意代码或广告。
- 保证客户端和服务器之间数据真实有效。
好处：
- 增强数据的可靠性，防止数据篡改攻击。
4. 安全传输的端口区别
- HTTP 使用的是默认端口 80。
- HTTPS 使用的是默认端口 443。
为什么这么做？
- 明确区分安全连接和不安全连接，简化网络管理和安全防护。
好处：
- 网络管理员和防火墙能够快速区分并管理流量。
四、HTTPS 改进 HTTP 后的明显优势
综上所述，HTTPS 在 HTTP 基础上做了全方位的安全升级，给我们带来了以下明显优势：
- 数据安全性：所有数据传输都被加密，中间人无法直接读取敏感信息。
- 身份真实性：通过证书机制，用户可以确认自己正在访问真实网站，防止钓鱼攻击。
- 数据完整性：通信数据在传输过程中不可篡改，保证信息准确性。
- 提高网站信誉度：搜索引擎（如 Google）鼓励使用 HTTPS，会优先展示 HTTPS 网站。
- 遵守法规合规性：在许多国家或地区，保护用户隐私已成为法律要求，使用 HTTPS 是保障合规的重要手段。
五、HTTPS 有缺点吗？
当然也存在一些小缺点：
- 增加开销：HTTPS 会消耗更多 CPU 资源，增加服务器负担（但现代硬件和优化技术已将这个影响降至最低）。
- 申请证书成本：权威的 SSL 证书通常需要付费申请（但目前也有免费证书如 Let's Encrypt）。
- 性能略低于 HTTP：因为加密与握手过程，性能相比 HTTP 略有损失（但得益于 HTTP/2 和 HTTP/3 协议的优化，性能差距大幅减小）。
但总体而言，HTTPS 的安全优势远远大于这些小缺点，因此已经被广泛接受为 Web 安全标准。
六、总结：HTTPS 是未来的趋势
从 HTTP 到 HTTPS 的转变，不仅仅是一个字母的差别，更是一种从不安全走向安全的重要变革。HTTPS 通过增加 SSL/TLS 协议，解决了 HTTP 协议中数据明文传输、身份验证缺乏、数据可篡改等安全问题，使互联网更加安全可信。
如今，HTTPS 已经成为现代网站必备的安全协议，保护了无数用户的数据安全。作为开发者或网站管理者，尽快迁移到 HTTPS，不仅保护用户信息，也提高了自己的网站信誉和安全性。这是互联网发展的必然趋势，也是保障用户隐私安全的必要措施。