📖 前言导读
JavaWeb是前后端交互、Web项目开发、网络面试的基础核心 ，所有SSM、SpringBoot项目均基于Web底层机制运行，属于后端必备通识能力。很多开发者常年开发Web项目，却不熟悉HTTP协议、Servlet机制、会话原理、跨域成因、网络安全等核心知识点，面试网络考点频繁失分，对项目底层运行逻辑认知模糊。本篇完整梳理HTTP/HTTPS协议、Servlet生命周期、Cookie&Session、跨域解决方案、Web安全防护等核心内容，结合面试考点与业务场景，打通Web运行底层逻辑，吃透网络面试全考点。
一、HTTP与HTTPS核心协议
📌 必考指数：★★★★★
HTTP协议是前后端数据交互的通用规范，所有接口请求均基于HTTP实现，是网络面试第一必考考点。
1、HTTP核心特性
-
无状态：服务器不保存客户端请求状态，每次请求独立无关联
-
无连接：默认短连接，请求响应完成立即断开连接
-
灵活扩展：支持多种请求方法、响应状态码、请求头参数
2、HTTP与HTTPS区别
HTTP明文传输、端口80、不安全、无加密；HTTPS基于HTTP+SSL/TLS加密、端口443、数据加密传输、防劫持防窃听，生产环境接口强制使用HTTPS。
3、常用请求方法与状态码
常用方法：GET查询、POST提交、PUT更新、DELETE删除；核心状态码：200成功、302重定向、404路径错误、403权限不足、500服务器异常。
二、Servlet核心生命周期
📌 必考指数：★★★★
Servlet是JavaWeb核心组件，是SpringMVC底层运行基础，完整生命周期分为：初始化init→服务处理service→销毁destroy。服务器启动或首次访问初始化，单次实例多线程处理请求，服务器关闭销毁，全局单例存在。
三、Cookie与Session会话机制
📌 必考指数：★★★★★
HTTP无状态导致无法记录用户登录状态，Cookie与Session用于实现会话跟踪，是登录认证、用户态维护的核心方案。
-
Cookie：客户端存储会话数据，容量小、不安全、可篡改、随请求自动携带
-
Session：服务器端存储会话数据，安全可靠、容量大，通过Cookie传递SessionId关联用户
会话共享问题：单机Session可直接使用，分布式场景需Session共享、替换为Token方案。
四、跨域问题与解决方案
📌 必考指数：★★★★★
浏览器同源策略限制：协议、域名、端口任意不同即为跨域，拦截前端异步请求。生产常用解决方案：CORS后端跨域配置、网关统一跨域、前端代理、JSONP，主流首选CORS注解与全局配置。
五、Web安全基础防护
📌 必考指数：★★★★
-
XSS跨站脚本攻击：注入恶意脚本，解决方案：输入过滤、输出转义、CSP防护
-
CSRF跨站请求伪造：伪造用户请求，解决方案：Token校验、Referer校验
-
SQL注入：拼接恶意SQL，解决方案：预编译SQL、参数绑定、禁止字符串拼接
六、本篇高频面试真题（必背）
1、HTTP和HTTPS的区别？
1、安全性：HTTP明文传输不安全，HTTPSSSL加密传输防窃听篡改；2、端口：HTTP80，HTTPS443；3、性能：HTTPS加密解密略有损耗，HTTP更快；4、证书：HTTPS需要CA证书认证，HTTP无需；5、适用场景：测试环境可用HTTP，生产环境必须HTTPS。
2、Cookie和Session的区别与联系？
区别：Cookie客户端存储、不安全、容量小；Session服务端存储、安全可靠、容量大。联系：二者配合实现会话跟踪，客户端通过Cookie携带SessionId关联服务端Session数据，解决HTTP无状态问题，实现用户登录状态保持。
3、跨域成因与常用解决方案？
跨域成因：浏览器同源策略限制，协议、域名、端口任意不一致即跨域。常用解决方案：1、后端添加CORS跨域注解或全局配置；2、网关统一配置跨域放行；3、前端本地代理转发；4、简单场景使用JSONP。生产首选CORS全局配置，简单高效、适配所有场景。
📝 本篇章节小结
本篇全覆盖HTTP/HTTPS协议、Servlet生命周期、Cookie&Session会话、跨域问题、Web安全防护 核心网络考点。重点掌握协议差异、会话机制、跨域原理与解决方案、安全攻防基础，打通Web项目底层运行逻辑，彻底搞定前后端交互相关面试与生产问题，夯实Web开发基础能力。