面试必问：说一下 HTTPS 的执行流程？

,说到 HTTPS 相信大部分人都是不陌生，因为目前我们使用的绝大数网站都是基于 HTTPS 的，比如以下这些：,,,,那么问题来了，他们为什么要使用 HTTPS 呢？HTTPS 有哪些过人之处呢？,在说 HTTPS 之前，我们先要了解 HTTP，因为 HTTP 是 HTTPS 通讯的基础。HTTP（HyperText Transport Protocol）超文本传输协议，它用于传输客户端和服务器端的数据。HTTP 使用很简单也很方便，但却存在以下 3 个致命问题：,鉴于以上问题，所以现在的系统会使用 HTTPS 来替代 HTTP。,首先来说，HTTPS 并不是一种新的协议，而是在 HTTP 协议的基础上添加了加密机制 SSL（Secure Socket Layer）或 TLS（Transport Layer Security）。HTTPS = HTTP + 加密 + 认证 + 完整性保护。,SSL（Secure Socket Layer）最早是由浏览器开发厂商网景公司开发的，此公司开发了 SSL 3.0 及 3.0 之前的版本，之后便将 SSL 交给了 IETF（Internet Engineering Task Force）Internet 工程任务组的手中，IETF 以 SSL 3.0 为基础开发了 TLS 1.0，所以可以认为 TLS 是 SSL 的“新版本”。,作为 HTTPS 来说，首先要解决的就是信任问题，也就是身份效验的问题，如果不解决信任问题就会存在服务器伪装，也就是“中间人攻击”的问题。所谓的中间人攻击指的是，正常情况下本该是客户端和服务端直接进行交互的，但此处冲出来一个“坏人”（中间人），它包含在客户端和服务器端之间，用于盗取和篡改双方通讯的内容，如下图所示：,,HTTPS 解决信任问题采用的是数字证书的解决方案，也就是服务器在创建之初，会先向一个大家都认可的第三方平台申请一个可靠的数字证书，然后在客户端访问（服务器端）时，服务器端会先给客户端一个数字证书，以证明自己是一个可靠的服务器端，而非“中间人”。此时浏览器会负责效验和核对数字证书的有效性，如果数字证书有问题，那么客户端会立即停止通讯，如果没问题才会执行后续的流程，如下图所示：,,有了数字证书之后，就可以验证服务器端的真实身份了，这样就解决了“中间人攻击”的问题，也解决了伪装的问题。,虽然上面我们已经解决了信任问题，然而因为通讯双方是明文通讯的，所以在通讯时依然存在通讯内容被窃听的风险，此时应该怎么办呢？于是我们想到，使用加密来解决信息暴露的问题。,加密主要分为两大类：对称加密和非对称加密。,那在 HTTPS 中要使用对称加密还是非对称加密呢？使用对称加密，速度快，但不安全；使用非对称加密安全，但速度慢。只有小孩做选择，成年人都要，所以 HTTPS 中既使用了非对称加密也使用了对称加密，它的整个交互流程是这样的：,,HTTPS 执行流程如下：,这样，HTTPS 既保证了安全性，同时又保证了高效性，可谓鱼和熊掌兼得。,使用 HTTP 协议存在明文通讯和中间人攻击等问题，但这些问题在 HTTPS 中得到了有效的解决，HTTPS 通过数字证书解决了中间人攻击的问题，使用加密手段解决了明文通讯和数据完整性的问题。