HTTP 与 HTTPS：从原理到实践的完整科普

客户端（浏览器）                    服务器
     |                              |
     |  --- GET /api/users HTTP/1.1 --->  |
     |                              |
     |  <--- HTTP/1.1 200 OK -------  |
     |       Content-Type: application/json |
     |       [{"id":1, "name":"Alice"}]     |

// 前端使用 Fetch API 示例
// GET
const users = await fetch('/api/users').then(r => r.json());

// POST
const newUser = await fetch('/api/users', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ name: 'Bob', email: 'bob@example.com' }),
}).then(r => r.json());

// PUT
await fetch('/api/users/1', {
  method: 'PUT',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ name: 'Bob Updated', email: 'bob@example.com' }),
});

// DELETE
await fetch('/api/users/1', { method: 'DELETE' });

// 前端状态码处理最佳实践
async function apiRequest(url, options = {}) {
  const response = await fetch(url, options);

  if (!response.ok) {
    switch (response.status) {
      case 401:
        // 跳转登录
        window.location.href = '/login';
        throw new Error('未授权，请重新登录');
      case 403:
        throw new Error('没有访问权限');
      case 404:
        throw new Error('请求的资源不存在');
      case 429:
        // 等待后重试
        const retryAfter = response.headers.get('Retry-After') || 5;
        await new Promise(r => setTimeout(r, retryAfter * 1000));
        return apiRequest(url, options);
      case 500:
        throw new Error('服务器内部错误，请稍后重试');
      default:
        throw new Error(`请求失败: ${response.status}`);
    }
  }

  return response.json();
}

HTTP 明文传输示例（抓包可见）：

GET /login HTTP/1.1
Host: bank.example.com

HTTP/1.1 200 OK
...
<form action="/login" method="POST">
  <input name="username" value="alice">
  <input name="password" value="mysecret123">  ← 密码明文可见！
</form>

HTTP:   [HTTP]  →  [TCP]  →  [IP]
HTTPS:  [HTTP]  →  [TLS]  →  [TCP]  →  [IP]
                      ↑
                 加密/认证层

客户端 (浏览器)                         服务器 (website.com)
    |                                        |
    |  ① ClientHello                        |
    |  (支持的 TLS 版本、加密套件列表)          |
    |  ---------------------------------->   |
    |                                        |
    |  ② ServerHello                        |
    |  (选定的 TLS 版本、加密套件)              |
    |  ③ Certificate                        |
    |  (服务器 SSL 证书，含公钥)               |
    |  ④ ServerHelloDone                    |
    |  <----------------------------------   |
    |                                        |
    |  ⑤ 验证证书链                          |
    |  ⑥ 生成 Premaster Secret              |
    |  ⑦ ClientKeyExchange                  |
    |  (用服务器公钥加密的 Premaster Secret)   |
    |  ---------------------------------->   |
    |                                        |
    |  ⑧ 双方用 Premaster Secret            |
    |     生成对称加密的 Session Key           |
    |                                        |
    |  ←======= 后续通信 ========→           |
    |    (使用 Session Key 对称加密)           |

根 CA 证书（Root CA）
  └── 中间 CA 证书（Intermediate CA）
        └── 网站证书（example.com）

浏览器验证流程：
  1. 检查网站证书是否由受信任的中间 CA 签发
  2. 检查中间 CA 证书是否由受信任的根 CA 签发
  3. 检查证书是否在有效期内
  4. 检查证书的域名是否匹配
  5. 检查证书是否被吊销（OCSP / CRL）

HTTP 下的 MITM 攻击（可被攻击）：

用户 ←→ 攻击者（咖啡店 Wi-Fi 热点）←→ 真实服务器
       ↑ 攻击者可以看到、修改所有数据

HTTPS 下的防护：

用户 ←→ 攻击者 ←→ 真实服务器
       ↑ 攻击者无法解密（无服务器私钥）
       ↑ 攻击者无法伪造证书（无受信任 CA 签名）

# Nginx HTTPS 优化配置示例
server {
    listen 443 ssl http2;
    server_name example.com;

    # 证书路径
    ssl_certificate     /etc/nginx/ssl/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/privkey.pem;

    # 只用 TLS 1.2 和 1.3
    ssl_protocols TLSv1.2 TLSv1.3;

    # 优先服务器端加密套件
    ssl_prefer_server_ciphers on;

    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;

    # Session 缓存
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # HSTS（一年，包含子域名）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

# 1. 安装 Certbot（Ubuntu/Debian）
sudo apt update && sudo apt install certbot python3-certbot-nginx

# 2. 自动获取并配置证书（Nginx 示例）
sudo certbot --nginx -d example.com -d www.example.com

# 3. 设置自动续期
sudo certbot renew --dry-run   # 测试
# Certbot 默认添加 crontab 自动续期

# 4. 手动续期（证书有效期 90 天）
sudo certbot renew

# 本地开发 HTTPS 环境
brew install mkcert    # macOS
mkcert -install
mkcert localhost 127.0.0.1
# 生成 localhost+1.pem 和 localhost+1-key.pem