通信协议相关知识点

ゝ一纸荒年。 2023-10-05 13:01 10阅读 0赞

在java面试中频繁出现的高频通信相关问题，吃透以下几个知识点，以不变应万变。

## http与https ##

HTTP协议是一种应用层协议，HTTP是HyperText Transfer Protocol(超文本传输协议)的英文缩写。HTTP可以通过传输层的TCP协议在客户端和服务器之间传输数据。HTTP协议主要用于Web浏览器和 Web服务器之间的数据交换。我们在使用IE或Firefox浏览网页或下载Web资源时，通过在地址栏中输入，开头的4个字母http就相当于通知浏览 器使用HTTP协议来和host所确定的服务器进行通讯。  
http具有无状态的特点：无状态体现在http协议对事务的无感知性。即http的每一次请求都是新建立的一次全新的请求，当前请求无法感知上一次请求的处理结果。常见的一个案例就是，http无法感知登录成功的结果，所以每次都需要校验登录状态。为了简化登录状态校验，不必每次都带着用户名密码，服务端会返回一个token，让客户端每次请求都带着这个token。为了校验token是否正确，服务端将token存在session里面，并把sessionId返回给客户短，客户端将sessionId存在cookie里面，每次请求时，带着sessionId去请求服务。服务端根据sessionId拿到session，然后通过确认session中的token来确认用户的登录状态。

http除了无状态外，同时也是不安全的。数据在传输的过程中采用明文传输，如果传输过程中被截取，并解析出cookie中存放的sessionId，或者直接截取cookie内容来发送恶意请求。服务端校验登录状态通过后，会正常响应这个恶意请求，这就导致了http的不安全。而为了解决http的不安全的问题，就有了https。

https协议，其本质上还是http协议，在报文内容传输时，依旧采用的是http协议，只不过在http外面封装了一层加密逻辑（TSL）。加密协议有两种，一种是SSL，一种是TSL。https加密的过程如下：

*  客户端出链接请求，请求与服务端建立链接。
 *  服务端收到请求后，响应客户端收到链接请求，准备建立链接
 *  客户端收到服务端的报文后，响应服务端，客户端已就绪，可以发送数据。至此，三次握手完成，链接建立。
 *  服务端发送自己的数字证书给客户端
 *  客户端根据本地存储的CA根证书公钥，解开数字证书，拿到服务端公钥
 *  客户端生成随机密码串作为后续通信用共享密钥，同时用服务端的公钥加密这个共享密钥。将加密后的内容发送给服务端。
 *  服务端收到密文后，用服务端私钥解开密文，获取共享密钥
 *  之后客户端与服务端开始通信，采用对称加密方式，密钥即为上述共享密钥。

**为什么HTTP要采用对称加密和非对称加密的混合加密方式呢？** 直接在上述第五步，拿到服务端公钥后，使用服务端公钥对请求加密，然后开始通信就可以了。之所以，不这样做，而是用这个非对称的加密方式去加密对称密钥，原因是，非对称加密的算法比较复杂，加密过程缓慢，如果全程使用非对称加密，将影响请求的响应效率。对称加密的算法相对简单，高效，所以用非对称加密来保证共享密钥的安全，同时用共享密钥加密报文，保证响应效率。

关于https加密过程的详细解释，可参照  
[公钥与私钥，HTTPS详解][HTTPS]

## TCP与UDP ##

http与https协议，都是应用层的协议。http的传输，实际是搭载在TCP协议上的。http中的三次握手，其实就是TCP链接建立的过程。TCP协议是一个面向链接的，稳定，安全，有序的协议。因为三次握手和链接的建立，保证了数据传输的稳定性。此外，TCP协议中，数据的发送和接收都需要有结果响应，保证了数据的安全和有序。

UDP是面对无连接的传输协议。UDP协议中，数据的发送，不需要事先建立链接，数据发送后，也不需要接收方返回结果确认。精简了处理环节，带来的好处就是速度快，效率高。缺点就是不保证数据的安全和稳定。因此，UDP常用来做视频传输，直播点播等平台的传输协议。由于这些平台的特点，要求传输的速度一定要快，对于数据的稳定性不如效率来的高。视频播放丢帧，卡顿比页面请求后响应慢要容易接受。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyMzg5NzY0_size_16_color_FFFFFF_t_70_pic_center]

## Cookie与Session ##

Cookie和session都是用来解决http协议无状态特性导致的问题的方案。Cookie和Session不是绝对，有时候，Cookie和Session还要配合使用。Cookie和Session都是由服务器端生成的对象，只不过一个存放在客户端，一个存放在服务器端。Cookie和Session都是以健值对的形式存放数据。对于Cookie来说，一个健值对就是一个Cookie，所以一个网站同时会拥有多个Cookie。而对于Session来说，一个键值对，就是他的一个属性，类似于Map的存在，因此一个会话只会拥有一个session。

下面以代码为例：  
在ApplicationHttpRequest 中定义了session变量，以及getSession方法，getSession方法实际调用this.getSession(true)。参数true表示session不存在时，新建一个session。当请求到后端时，框架会自动新建一个session，并把sessionId返回给前端。

class ApplicationHttpRequest extends HttpServletRequestWrapper {
        
    	...
    	/**
    	* session变量
    	*/
    	protected Session session = null;
    	...
    	public HttpSession getSession() {
        
            return this.getSession(true);
        }
        ...

此外，ApplicationHttpRequest继承了HttpServletRequestWrapper类，在HttpServletRequestWrapper类中，存放了Cookie

public class HttpServletRequestWrapper extends ServletRequestWrapper implements HttpServletRequest {
        
    	...
    	public Cookie[] getCookies() {
        
            return this._getHttpServletRequest().getCookies();
        }
        ...
    }

通过返回值可以看到，一个请求中，存放了多个Cookie。但只有一个Session。

再来看Cookie和Session的类结构。

javax.servlet.http.Cookie属性及说明

public class Cookie implements Cloneable, Serializable {
        
        private static final CookieNameValidator validation;
        private static final long serialVersionUID = 1L;
        // 该Cookie的名称。Cookie一旦创建，名称便不可更改
        private final String name;
        // 该Cookie的值。如果值为Unicode字符，需要为字符编码。
        // 如果值为二进制数据，则需要使用BASE64编码
        private String value;
        // 该Cookie使用的版本号。
        // 0表示遵循Netscape的Cookie规范，
        // 1表示遵循W3C的RFC 2109规范
        private int version = 0;
        // 该Cookie的用处说明。浏览器显示Cookie信息的时候显示该说明
        private String comment;
        // 可以访问该Cookie的域名。
        // 如果设置为“.google.com”，则所有以“google.com”结尾的域名都可以访问该Cookie。
        // 注意第一个字符必须为“.”
        private String domain;
        // 该Cookie失效的时间，单位秒。
        // 如果为正数，则该Cookie在maxAge秒之后失效。
        // 如果为负数，该Cookie为临时Cookie，关闭浏览器即失效，浏览器也不会以任何形式保存该Cookie。
        // 如果为0，表示删除该Cookie。默认为–1
        private int maxAge = -1;
        // 该Cookie的使用路径。如果设置为“/sessionWeb/”，则只有contextPath为“/sessionWeb”的程序可以访问该Cookie。
        // 如果设置为“/”，则本域名下contextPath都可以访问该Cookie。
        // 注意最后一个字符必须为“/”
        private String path;
        // 该Cookie是否仅被使用安全协议传输。
        // 安全协议有HTTPS，SSL等，在网络上传输数据之前先将数据加密。默认为false
        private boolean secure;
        private boolean httpOnly;
    
    	// get，set方法
    	...

javax.servlet.http.HttpSession

/**
    *这个包里定义了一个session接口
    *各个实现了这个接口的类，都必须包含以下方法
    */
    public interface HttpSession {
        
    	// 获取创建时间
        long getCreationTime();
    	// 获取sessionId
        String getId();
    	// 获取最后响应时间
        long getLastAccessedTime();
    	// 获取servlet上下文
        ServletContext getServletContext();
    	// 设置session失效时间，单位为秒
    	// 期间任何用户的活动，都会刷新失效时间
        void setMaxInactiveInterval(int var1);
        int getMaxInactiveInterval();
    
        /** @deprecated */
        @Deprecated
        HttpSessionContext getSessionContext();
    
    	// 操作指定属性
        Object getAttribute(String var1);
        Enumeration<String> getAttributeNames();
        void setAttribute(String var1, Object var2);
        void removeAttribute(String var1);
    
    	// 同样也是对属性值的操作，已被标记为不推荐使用（Deprecated）
    	// 对value的操作，底层依旧都是调用的对attribution的操作
        /** @deprecated */
        @Deprecated
        Object getValue(String var1);
        /** @deprecated */
        @Deprecated
        String[] getValueNames();
        /** @deprecated */
        @Deprecated
        void putValue(String var1, Object var2);
        /** @deprecated */
        @Deprecated
        void removeValue(String var1);
    
    	// 使该Session失效
        void invalidate();
    	// 返回该Session是否是新创建的
        boolean isNew();
    }

关于session的失效时间的设置，可以参照下面文章。  
[JavaWeb设置session失效时间的三种方法][JavaWeb_session]

## 七层模型与四层模型 ##

**七层模型：** OSI 开放系统互联参考模型，它是理论参考模型  
物理层->数据链路层->网络层->传输层->会话层->表示层->应用层  
**四层模型：** TCP/IP模型 ,现在实际应用的这一层  
网际接口层->互联网层->传输层->应用层

*  物理层： 主要定义的是—传输介质 比如 RJ-45等 这一层没啥协议，都是规范啥的
 *  数据链路层：就是平时的局域网，局域网内的数据传输MAC层  
    常见协议：  
    **ARP** (Address Resolution Protocal) 地址解析协议,就是 把 IP->MAC(你听过ARP欺骗的)  
    **RARP**(Rerserve Address Resolution Protocal) 反向地址转换协议 MAC->IP  
    当然他们是没有端口号的，他们表现的是一一对应关系  
    比如: cmd-> arp -a
 *  网络层： 外网的传输 IP层  
    常见协议：  
    IP (Internet Protocol)网际协议  
    ICMP (Internet Control Message Protocol)网络控制信息协议 (平时的ping)  
    IGMP (Internet Group Management Protocol)组管理协议  
    NAT (Network Address Translation) 网络地址转换
 *  传输层：  
    TCP  
    UDP
 *  应用层：  
    HTTP 80  
    HTTPS 443  
    DNS 53  
    SMTP 发送邮件端口 25  
    POP3 收邮件端口 110  
    FTP 20端口，负责传出数据， 21端口负责发起和建立连接  
    TELNET 23  
    DHCP—动态主机配置协议, 客户端请求用的67端口，服务器回应用的是68端口

## GET与POST ##

从get和post的规范上来说：

1.  GET在浏览器回退时是无害的，而POST会再次提交请求。
2.  GET产生的URL地址可以被Bookmark，而POST不可以。
3.  GET请求会被浏览器主动cache，而POST不会，除非手动设置。
4.  GET请求只能进行url编码，而POST支持多种编码方式。
5.  GET请求参数会被完整保留在浏览器历史记录里，而POST中的参数不会被保留。
6.  GET请求在URL中传送的参数是有长度限制的，而POST么有。
7.  对参数的数据类型，GET只接受ASCII字符，而POST没有限制。
8.  GET比POST更不安全，因为参数直接暴露在URL上，所以不能用来传递敏感信息。
9.  GET参数通过URL传递，POST放在Request body中。

但从GET请求和POST请求原理上来看，并无差别，不论是GET还是POST请求，都是走的TCP/IP协议，报文格式和语义并无差别。因此在post请求中，在请求url后面拼接参数；或者在get请求中添加form表单，后台都是可以收到的。知识这么写不符合规范。GET和POST的区别主要是规范上的差别。

[HTTPS]: https://blog.csdn.net/baidu_36327010/article/details/78659665
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyMzg5NzY0_size_16_color_FFFFFF_t_70_pic_center]: https://img-blog.csdnimg.cn/20201102113734691.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyMzg5NzY0,size_16,color_FFFFFF,t_70#pic_center
[JavaWeb_session]: https://blog.csdn.net/mayukang/article/details/90731186