[Java大厂必备面试题] 点滴促就辉煌, 每日三题【Day13】:网络编程2

谁践踏了优雅 2023-10-02 10:24 3阅读 0赞

**目录**

*  面试题1：HTTP 与 HTTPS 有什么不同？
    
    正经回答：
    
    面试题2：你了解对称加密和非对称加密么？说一下工作原理
    
    正经回答：
    
    面试题3：说一下你对Session、Cookie的理解吧
    
    正经回答：
    
    追问1：请介绍一下Session的生命周期吧
    
    追问2：Session和Cookie的有效期都是怎么设置的？
    
    追问3：你知道Cookie中要哪些属性么？都是干什么用的?
    
    追问4：Session、Cookie都有哪些区别？
    
    每日小结
    
    --------------------

--------------------

[Java岗大厂面试百日冲刺 - 日积月累，每日三题【Day13】—— 网络编程2\_陈哈哈的菜园子-CSDN博客][Java_ - _Day13_ _2_-CSDN]   **本栏目Java开发岗高频面试题主要出自以下各技术栈：`Java基础知识`、`集合容器`、`并发编程`、`JVM`、`Spring全家桶`、`MyBatis等ORMapping框架`、`MySQL数据库`、`Redis缓存`、`RabbitMQ消息队列`、`Linux操作技巧`等。**

--------------------

## 面试题1：HTTP 与 HTTPS 有什么不同？ ##

###             正经回答： ###

HTTP （全称Hyper Text Transfer Protocol），超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息，HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此，HTTP协议不适合传输一些敏感信息，比如：信用卡号、密码等支付信息。

为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS（Hyper Text Transfer Protocol Secure），为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。

*  http是HTTP协议运行在TCP之上。所有传输的内容都是明文，客户端和服务器端都无法验证对方的身份。
 *  https是HTTP运行在SSL/TLS之上，SSL/TLS运行在TCP之上。所有传输的内容都经过加密，加密采用对称加密，但对称加密的密钥用服务器方的证书进行了非对称加密。此外客户端可以验证服务器端的身份，如果配置了客户端验证，服务器方也可以验证客户端的身份。

> > HTTPS协议的主要作用可以分为两种：一种是**`建立一个信息安全通道`**，来保证数据传输的安全；另一种就是**`确认网站的真实性`。**

HTTPS和HTTP的区别主要如下：

<table style="width:500px;"> 
 <tbody> 
  <tr> 
   <th>区别</th> 
   <td>HTTP</td> 
   <td>HTTPS</td> 
  </tr> 
  <tr> 
   <td>协议</td> 
   <td>运行在 TCP 之上，明文传输，客户端与服务器端都无法验证对方的身份</td> 
   <td>身披 SSL外壳的 HTTP；<br><code>运行于 SSL 上，SSL 运行于 TCP 之上</code>， 是添加了加密和认证机制的 HTTP。</td> 
  </tr> 
  <tr> 
   <td>端口</td> 
   <td>80</td> 
   <td>443</td> 
  </tr> 
  <tr> 
   <td>资源消耗</td> 
   <td>较少</td> 
   <td>由于加解密处理，会消耗更多的 CPU 和内存资源</td> 
  </tr> 
  <tr> 
   <td>开销</td> 
   <td>无需证书</td> 
   <td>需要证书，而证书一般需要向认证机构购买</td> 
  </tr> 
  <tr> 
   <td>加密机制</td> 
   <td>无</td> 
   <td>共享密钥加密和公开密钥加密并用的混合加密机制</td> 
  </tr> 
  <tr> 
   <td>安全性</td> 
   <td>弱</td> 
   <td>由于加密机制，安全性强</td> 
  </tr> 
  <tr> 
   <td>.....</td> 
   <td>........</td> 
   <td>.......</td> 
  </tr> 
 </tbody> 
</table>

**追问1：HTTPS的工作原理是什么样的？**

我们都知道HTTPS能够加密信息，以免敏感信息被第三方获取，所以很多银行网站或电子邮箱等等安全级别较高的服务都会采用HTTPS协议。

客户端在使用HTTPS方式与Web服务器通信时有以下几个步骤，如图所示。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_18_color_FFFFFF_t_70_g_se_x_16][]

*  客户使用https的URL访问Web服务器，要求与Web服务器建立SSL连接。
 *  Web服务器收到客户端请求后，会将网站的证书信息（证书中包含公钥）传送一份给客户端。
 *  客户端的浏览器与Web服务器开始协商SSL连接的安全等级，也就是信息加密的等级。
 *  客户端的浏览器根据双方同意的安全等级，建立会话密钥，然后利用网站的公钥将会话密钥加密，并传送给网站。
 *  Web服务器利用自己的私钥解密出会话密钥。
 *  Web服务器利用会话密钥加密与客户端之间的通信。

--------------------

## 面试题2：你了解对称加密和非对称加密么？说一下工作原理 ##

###             正经回答： ###

**对称加密**

对称加密是最快速、最简单的一种加密方式，加密（encryption）与解密（decryption）用的是**`同样的密钥（secret key）`**。对称加密有很多种算法，由于它效率很高，所以被广泛使用在很多加密协议的核心当中。

加密过程如下：

*  加密：原文 + 密匙 = 密文
 *  解密：密文 - 密匙 = 原文

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_20_color_FFFFFF_t_70_g_se_x_16][]

就像打仗时特工们用的加密电报，加密和解密都是来源于一本小册子，相当于翻译词典，加密解密的方法相同。

**非对称加密**

明白了对称加密后，我们来了解一下什么是非对称加密。我们知道，`对称加密是使用的同一把密匙进行加密和解密`。自然，`非对称加密自然是使用不同的密钥进行加密和解密`。

非对称加密有两个钥匙，及公钥（**Public Key**）和私钥（**Private Key**）。公钥和私钥是成对的存在，如果对原文使用公钥加密，则只能使用对应的私钥才能解密；因为加密和解密使用的不是同一把密钥，所以这种算法称之为非对称加密算法。

非对称加密算法的密匙是通过一系列算法获取到的一长串随机数，通常随机数的长度越长，加密信息越安全。通过私钥经过一系列算法是可以推导出公钥的，也就是说，公钥是基于私钥而存在的。但是无法通过公钥反向推倒出私钥，这个过程的单向的。

下面，让我们看一下非对称加密及解密过程。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_20_color_FFFFFF_t_70_g_se_x_16 1][]

根据上图，我们可以看到，对于原文，通过接收方的公钥进行加密，发送给接收方，接收方拿到密文后，通过自己的私钥可以解密，获取原文信息。在这个过程中，即使接收方公钥泄漏，也不会导致消息泄漏，因为密文只能通过接收方的私钥才能打开。所以，信息安全过程中，接收方只需要保管好自己的私钥不泄露即可。

同样，当接收方向发送方发送消息时，接收方将密文通过原发送方的公钥进行加密，原发送方通过自己的私钥才可解密。

*  对称加密加密与解密使用的是同样的密钥，所以速度快，但由于需要将密钥在网络传输，所以安全性不高。
 *  非对称加密使用了一对密钥，公钥与私钥，所以安全性高，但加密与解密速度慢。

**`折中的解决办法：`**

秘钥二次加密，将对称加密的密钥使用非对称加密的公钥进行加密，然后把二次加密后的秘钥发送出去，接收方使用私钥进行解密得到对称加密的密钥，然后双方可以使用对称加密来进行沟通。

## 面试题3：说一下你对Session、Cookie的理解吧 ##

###             正经回答： ###

会话（Session）跟踪是Web程序中常用的技术，用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie与Session。Cookie通过在**`客户端`**记录信息确定用户身份，Session通过在**`服务器端`**记录信息确定用户身份。

**Cookie是干啥的**

在程序中，会话跟踪是很重要的事情。理论上，**一个用户的所有请求操作都应该属于同一个会话，而另一个用户的所有请求操作则应该属于另一个会话**，二者不能混淆。例如，用户A在超市购买的任何商品都应该放在A的购物车内，不论是用户A什么时间购买的，这都是属于同一个会话的，不能放入用户B或用户C的购物车内，这不属于同一个会话。

而Web应用程序是使用HTTP协议传输数据的。**HTTP协议是无状态的协议。**一旦数据交换完毕，客户端与服务器端的连接就会关闭，再次交换数据需要建立新的连接。这就意味着服务器无法从连接上跟踪会话。即用户A购买了一件商品放入购物车内，当再次购买商品时服务器已经无法判断该购买行为是属于用户A的会话还是用户B的会话了。要跟踪该会话，必须引入一种机制。

Cookie就是这样的一种机制。它可以弥补HTTP协议无状态的不足。在Session出现之前，基本上所有的网站都采用Cookie来跟踪会话。

由于HTTP是一种无状态的协议，服务器单从网络连接上无从知道客户身份。怎么办呢？就给客户端们颁发一个通行证吧，每人一个，无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了。这就是Cookie的工作原理。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_19_color_FFFFFF_t_70_g_se_x_16][]

Cookie实际上是一小段的文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

查看某个网站颁发的Cookie很简单。在浏览器地址栏输入javascript:alert (document. cookie)就可以了（需要有网才能查看）。JavaScript脚本会弹出一个对话框显示本网站颁发的所有Cookie的内容，如下图。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_20_color_FFFFFF_t_70_g_se_x_16 2][]

**Session是干啥的**

除了使用Cookie，Web应用程序中还经常使用Session来记录客户端状态。Session是服务器端使用的一种记录客户端状态的机制，使用上比Cookie简单一些，相应的也增加了服务器的存储压力。

Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上。这就是Session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

如果说Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话，那么Session机制就是通过检查服务器上的“客户明细表”来确认客户身份。Session相当于程序在服务器上建立的一份客户档案，客户来访的时候只需要查询客户档案表就可以了。

> Session的坑：  
> 禁用Cookie就不能得到Session，因为Session是用Session ID来确定当前对话所对应的服务器Session，而Session ID是通过Cookie来传递的，禁用Cookie相当于失去了Session ID，也就得不到Session了。

#### 追问1：请介绍一下Session的生命周期吧 ####

Session保存在服务器端。为了获得更高的存取速度，服务器一般把Session放在内存里。每个用户都会有一个独立的Session。如果Session内容过于复杂，当大量客户访问服务器时可能会导致内存溢出。因此，Session里的信息应该尽量精简。

Session在用户第一次访问服务器的时候自动创建。需要注意只有访问JSP、Servlet等程序时才会创建Session，只访问HTML、IMAGE等静态资源并不会创建Session。如果尚未生成Session，也可以使用request.getSession(true)强制生成Session。

Session生成后，只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。用户每访问服务器一次，无论是否读写Session，服务器都认为该用户的Session“活跃（active）”了一次。

#### 追问2：Session和Cookie的有效期都是怎么设置的？ ####

**Session**

Session的超时时间为**`maxInactiveInterval`**属性，可以通过对应的`getMaxInactiveInterval()`获取，通过**`setMaxInactiveInterval(longinterval)`**修改。

**Cookie**

Cookie的**`maxAge`**决定着Cookie的有效期，单位为秒（Second）。Cookie中通过`getMaxAge()`方法与**`setMaxAge(int maxAge)`**方法来读写maxAge属性。

如果maxAge属性为正数，则表示该Cookie会在maxAge秒之后自动失效。浏览器会将maxAge为正数的Cookie持久化，即写到对应的Cookie文件中。无论客户关闭了浏览器还是电脑，只要还在maxAge秒之前，登录网站时该Cookie仍然有效。下面代码中的Cookie信息将永远有效。

> Cookie cookie = new Cookie("username","helloweenvsfei"); // 新建Cookie
> 
> cookie.setMaxAge(Integer.MAX\_VALUE); // 设置生命周期为MAX\_VALUE
> 
> response.addCookie(cookie); // 输出到客户端  
>

如果maxAge为负数，则表示该Cookie仅在本浏览器窗口以及本窗口打开的子窗口内有效，关闭窗口后该Cookie即失效。maxAge为负数的Cookie，为临时性Cookie，不会被持久化，不会被写到Cookie文件中。Cookie信息保存在浏览器内存中，因此关闭浏览器该Cookie就消失了。Cookie默认的maxAge值为–1。

如果maxAge为0，则表示删除该Cookie。Cookie机制没有提供删除Cookie的方法，因此通过设置该Cookie即时失效实现删除Cookie的效果。失效的Cookie会被浏览器从Cookie文件或者内存中删除，

> Cookie cookie = new Cookie("username","helloweenvsfei"); // 新建Cookie
> 
> cookie.setMaxAge(0); // 设置生命周期为0，不能为负数
> 
> response.addCookie(cookie); // 必须执行这一句  
>

如上述代码中，response对象提供的Cookie操作方法只有一个添加操作add(Cookie cookie)。

要想修改Cookie只能使用一个同名的Cookie来覆盖原来的Cookie，达到修改的目的。删除时只需要把maxAge修改为0即可。

>   
> **注意**：从客户端读取Cookie时，包括maxAge在内的其他属性都是不可读的，也不会被提交。浏览器提交Cookie时只会提交name与value属性。maxAge属性只被浏览器用来判断Cookie是否过期。

#### 追问3：你知道Cookie中要哪些属性么？都是干什么用的? ####

<table style="width:500px;"> 
 <tbody> 
  <tr> 
   <td>属性名</td> 
   <td>描述</td> 
  </tr> 
  <tr> 
   <td>name（String）</td> 
   <td>该Cookie的名称。Cookie一旦创建，名称便不可更改</td> 
  </tr> 
  <tr> 
   <td>value（Object）</td> 
   <td>该Cookie的值。如果值为Unicode字符，需要为字符编码。如果值为二进制数据，则需要使用BASE64编码</td> 
  </tr> 
  <tr> 
   <td>maxAge（int）</td> 
   <td>该Cookie失效的时间，单位秒。如果为正数，则该Cookie在maxAge秒之后失效。如果为负数，该Cookie为临时Cookie，关闭浏览器即失效，浏览器也不会以任何形式保存该Cookie。如果为0，表示删除该Cookie。默认为–1</td> 
  </tr> 
  <tr> 
   <td>secure（boolean）</td> 
   <td>该Cookie是否仅被使用安全协议传输。安全协议。安全协议有HTTPS，SSL等，在网络上传输数据之前先将数据加密。默认为false</td> 
  </tr> 
  <tr> 
   <td>path（String）</td> 
   <td>该Cookie的使用路径。如果设置为“/sessionWeb/”，则只有contextPath为“/sessionWeb”的程序可以访问该Cookie。如果设置为“/”，则本域名下contextPath都可以访问该Cookie。注意最后一个字符必须为“/”</td> 
  </tr> 
  <tr> 
   <td>domain（String）</td> 
   <td>可以访问该Cookie的域名。如果设置为“.google.com”，则所有以“google.com”结尾的域名都可以访问该Cookie。注意第一个字符必须为“.”</td> 
  </tr> 
  <tr> 
   <td>comment（String）</td> 
   <td>该Cookie的用处说明。浏览器显示Cookie信息的时候显示该说明</td> 
  </tr> 
  <tr> 
   <td>version（int）</td> 
   <td>该Cookie使用的版本号。0表示遵循Netscape的Cookie规范，1表示遵循W3C的RFC 2109规范</td> 
  </tr> 
 </tbody> 
</table>

#### 追问4：Session、Cookie都有哪些区别？ ####

1.  **`cookie数据存放在客户的浏览器上，session数据放在服务器上`**

简单的说，当你登录一个网站的时候，如果web服务器端使用的是session,那么所有的数据都保存在服务器上面，客户端每次请求服务器的时候会发送 当前会话的session\_id，服务器根据当前session\_id判断相应的用户数据标志，以确定用户是否登录，或具有某种权限。

由于数据是存储在服务器 上面，所以你不能伪造，但是如果你能够获取某个登录用户的session\_id，用特殊的浏览器伪造该用户的请求也是能够成功的。

session\_id是服务器和客户端链接时候随机分配的，一般来说是不会有重复，但如果有大量的并发请求，也不是没有重复的可能性。

Session是由应用服务器维持的一个服务器端的存储空间，用户在连接服务器时，会由服务器生成一个唯一的SessionID,用该SessionID 为标识符来存取服务器端的Session存储空间。而SessionID这一数据则是保存到客户端，用Cookie保存的，用户提交页面时，会将这一 SessionID提交到服务器端，来存取Session数据。这一过程，是不用开发人员干预的。所以一旦客户端禁用Cookie，那么Session也会失效。

1.  cookie并不安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗考虑到安全应当使用session
2.  设置cookie时间可以使cookie过期。但是使用session-destory（），将会销毁会话。
3.  session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能考虑到减轻服务器性能方面，应当使用cookie。
4.  单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。(Session对象没有对存储的数据量的限制，其中可以保存更为复杂的数据类型)

> 注意:
> 
>  *  session很容易失效,用户体验很差;
>  *  虽然cookie不安全,但是可以加密 ;
>  *  cookie也分为永久和暂时存在的;
>  *  浏览器 有禁止cookie功能 ,但一般用户都不会设置;
>  *  一定要设置失效时间,要不然浏览器关闭就消失了;

两者最大的区别在于生存周期，一个是IE启动到IE关闭.(浏览器页面一关 ,session就消失了)，一个是预先设置的生存周期，或永久的保存于本地的文件。(cookie)

*  Session信息是存放在server端，但session id是存放在client cookie的，当然php的session存放方法是多样化的，这样就算禁用cookie一样可以跟踪
 *  Cookie是完全保持在客户端的如：IE firefox 当客户端禁止cookie时将不能再使用

## 每日小结 ##

我静

[Java_ - _Day13_ _2_-CSDN]: https://blog.csdn.net/qq_39390545/article/details/118159145?spm=1001.2014.3001.5501
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_18_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/20210926135709255.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5piv5rGk5ZyG5Lir,size_18,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/20210926135800216.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5piv5rGk5ZyG5Lir,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_20_color_FFFFFF_t_70_g_se_x_16 1]: https://img-blog.csdnimg.cn/20210926135852697.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5piv5rGk5ZyG5Lir,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_19_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/20210926140508436.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5piv5rGk5ZyG5Lir,size_19,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5piv5rGk5ZyG5Lir_size_20_color_FFFFFF_t_70_g_se_x_16 2]: https://img-blog.csdnimg.cn/20210926140810325.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5piv5rGk5ZyG5Lir,size_20,color_FFFFFF,t_70,g_se,x_16