HTTP和HTTPS有什么区别？服务器通信、安全机制与证书原理

四、数字证书与 CA 信任链

证书的作用是把一个公钥和一份身份信息绑定起来，并由可信的第三方背书。第三方就是 CA（证书颁发机构）。

一张 X.509 证书里包含：域名（Subject / SAN）、公钥、有效期、颁发者、签名。浏览器预装了受信任的根 CA 列表，验证链条是：

根 CA（内置在系统/浏览器）
   └── 中间 CA（由根 CA 签）
          └── 服务器证书（由中间 CA 签，绑定了你的域名）

浏览器验证服务器证书时，会顺着链一路查上去，直到找到自己信任的根 CA，同时检查：签名有效、域名匹配、未过期、未被吊销。任意一步失败，就会弹出"证书不受信任"的警告。

证书按验证级别大致分三类：

从加密强度看，三类证书没有本质区别，区别在于 CA 对申请者身份的核验程度，以及证书里显示的信息。

五、HTTP 与 HTTPS 全面对比

六、性能开销真的很大吗

早年 HTTPS 慢，是因为 RSA 握手要做大数运算，且每个连接都要完整握手。今天情况完全不同：

• TLS 1.3 把握手压缩到 1-RTT，恢复会话可 0-RTT。
• 会话复用（Session ID / Session Ticket）让重复访问跳过完整握手。
• 硬件加速：现代 CPU 内置 AES-NI 指令，对称加密几乎不占开销。
• OCSP Stapling 减少客户端去 CA 查吊销状态的往返。

经验上，在启用了 TLS 1.3 和会话复用的前提下，HTTPS 相比 HTTP 的额外延迟通常只在首次连接时体现为一次额外往返（约一个 RTT），对用户几乎无感。真正拖慢网站的往往不是 TLS，而是没开压缩、没做 CDN、后端慢。

七、HSTS 与常见部署

HSTS（HTTP 严格传输安全）是一个响应头，告诉浏览器"以后访问我这个域名，一律用 HTTPS，别再尝试 HTTP"。它解决了"用户第一次用 http:// 访问被劫持"的问题。

# nginx 示例：强制跳转 + HSTS
server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

# 安装证书工具（Let's Encrypt 免费证书常用 certbot）
# RHEL/CentOS/Rocky 8+
sudo dnf install certbot python3-certbot-nginx
# Debian/Ubuntu
sudo apt update && sudo apt install certbot python3-certbot-nginx

# 申请并自动配置证书
sudo certbot --nginx -d example.com -d www.example.com

# 测试自动续期
sudo certbot renew --dry-run

风险提示：启用 HSTS 的 max-age 一旦设得很长，回退到 HTTP 会很困难（浏览器会强制 HTTPS），首次上线建议先用较短时间（如 300 秒）验证，确认全站可用后再延长。includeSubDomains 要确保所有子域都支持 HTTPS。

八、怎么验证证书状态

# 看证书有效期和颁发者
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer -subject

# 检查证书链完整性
openssl s_client -connect example.com:443 -servername example.com -showcerts &1 | grep -i -E 'SSL|TLS|certificate'

证书报错常见原因：证书过期、域名不匹配（连了 IP 或别的域名）、中间证书缺失（链不完整，这在配置 nginx 时必须把中间证书拼进 crt 文件）、系统时间不对导致误判过期。

常见问题

Q：HTTPS 能防止网站被 DDoS 吗？
A：不能。HTTPS 保护的是传输内容的机密性和完整性，DDoS 是流量攻击，需要 CDN、WAF、限速等抗 D 手段。反过来，HTTPS 还会增加服务器 CPU 负担，理论上更容易被打满。

Q：证书一定很贵吗？
A：不一定。DV 证书有免费的（如 Let's Encrypt，90 天有效期，可自动续期），企业 OV/EV 证书通常收费，价格因 CA 而异，这里不涉及具体报价。

Q：为什么配置好后浏览器还是提示不安全？
A：多数是证书链不完整，或证书只签了 example.com 没签 www.example.com。用 openssl s_client 看证书链和 SAN 字段，按提示补齐。

Q：内网需要 HTTPS 吗？
A：看数据敏感度。内网若传输凭据、身份信息，建议上 HTTPS，可用内部 CA 签发证书，把根证书下发到终端。纯静态、无敏感数据的内网页面可暂缓。

Q：HTTP/2 和 HTTPS 什么关系？
A：主流浏览器只支持基于 TLS 的 HTTP/2（即 h2），所以上 HTTP/2 基本意味着必须先上 HTTPS。下一篇文章会详细讲。

总结

• HTTP 是明文，端口 80，内容可被查看和篡改，无法验证服务器身份；HTTPS 是 HTTP 跑在 TLS 上，端口 443，提供机密性、完整性和身份认证。
• TLS 握手用非对称加密安全协商出对称密钥，之后用对称加密传输数据，兼顾安全与性能；TLS 1.3 把握手压缩到 1-RTT 并支持 0-RTT。
• 证书由 CA 签发，浏览器通过内置根 CA 验证信任链，同时检查签名、域名、有效期、吊销状态。
• 现代 HTTPS 的性能开销很小，首次连接多一个 RTT，配合 TLS 1.3、会话复用、AES-NI 基本无感。
• 上 HTTPS 的步骤：申请证书（DV 可免费）→ 配置 nginx/apache → 强制 301 跳转 → 加 HSTS → 自动续期。配好后用 openssl s_client 验证。