http

1.TCP/IP

1. 7层协议

1. 一个数据的传输过程类似于 7654321(机器A) 123->21(路由器1) 123->21(路由器2) 12->21(交换机1) 12->21(交换机2) 123->21(路由器3) 1234567(机器B)
2. ARP 属于2.5连接层 IP→MAC 根据IP地址查询当前链路/局域网中的MAC地址

2. url属于uri(资源定位标识符) 包括的内容：协议名(http/ftp/..)/[登录信息]/服务器ip+端口/带层次的路径/标识符

2.HTTP

1. 一问一答的模式，服务器没收到请求之前不会主动发送响应
2. 请求包括：方法(get/post/..)   uri   协议版本   请求首部字段   内容实体
   回包包括：协议版本   状态码   状态码的原因   响应首部字段 主体
3. 属于无状态协议
4. cookie：为了保存状态引入的技术。比如用户登录一家购物网站，在购物网站的其他页面也要保持登录状态

5. 防cookie被盗

   http.SetCookie(w, &http.Cookie{
    Name:     "session_id",
    Value:    "abc123",                                         //顺带加上 跨域问题：A网站的JS能不能读取B源(非同源)的响应 同源：协议/域名/端口 都相同
    HttpOnly: true,                                             //F12无法通过命令document.cookie读取cookie 防止当前网站JS直接读取
    Secure:   true,                                             //cookie只通过https发送 防止传输过程中被窃取
    SameSite: http.SameSiteLaxMode,                             //防止CSRF:限制浏览器向另外一个网站请求时携带这个网站的Cookie
    Expires:  time.Now().Add(time.Duration(5*60) * time.Second) //过期时间5min
    MaxAge:   5*60,                                             //过期时间5min 有2个过期设置是为了兼容浏览器的新旧版本
    Path:     "/",
   })

6. Cookie/Session ID 被盗以后，如何尽量降低风险
   有效期给redis的session设置过期时间
   用户重新登录以后换一个新的Session
   用户退出注销Session
   异常登录检测 比如ip变了 设备变了 异常请求频率 综合判断是否需要重新登录验证
   在进行敏感操作时 需要重新登录验证

7. jwt+cookie 服务器不存储用户数据的状态(相对于4不用redis)
   如果token被盗就只能依赖于旧的token过期，或者服务器牺牲部分无状态属性:记录token的版本号

JWT(客户端请求携带数据)
│
├── Header
│   {"alg":"HS256","typ":"JWT"}                //签名算法(HS256对称密钥 RS256非对称密钥)
│
├── Payload
│   {"user_id":10001,"role":"user","exp":...}  //用户信息(uid 权限 过期时间..)
│
└── Signature
    用密钥对 Header+Payload 进行签名            //用于校验前面两个信息是否被篡改 (以上数据都可以被第三方拿到)

8. 方法

9. 持久连接：http1.0之前每次请求都包括建立和断开tcp连接； http1.1之后单次请求后不再断开连接，只有在客户端/服务器有明确的断开指令，连接才会断开
   (http1.0之前，每次请求只是tcp连接断开，但是cli和svr的进程还在跑。所以客户端可以通过php脚本获取到gateway在redis的状态，进而确认tcp连接哪个gateway)
   管线化：上一个请求还没有收到回包就发下一个请求

3.HTTP报文

1. 是否编码压缩 否:报文＝实体 是:报文≠实体
2. 回包错误码

5. 首部分类
   按是否跨代理传递首部分为： End-to-end(一直传递到最终接收者) Hop-by-hop(只对当前这一跳有效)
   按报文角色/用途分为：通用、请求、响应、实体/内容

6. 首部字段

4.web服务器

1. 可以多个域名指向同一个ip+prot 然后通过nginx或者web服务器自己做分拣

   www.a.com → 127.0.0.1:80
   www.b.com → 127.0.0.1:80
   www.c.com → 127.0.0.1:80

2. web服务器的分类 代理:可以缓存、过滤、转发；   网关:可以把HTTP请求转换成其他协议后交给别的服务处理;

–140