HTTP协议与HTTPS协议区别及SSL配置方式

最新推荐文章于 2025-07-03 14:56:33 发布
原创 最新推荐文章于 2025-07-03 14:56:33 发布 · 置顶 · 1k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#https

本文详细介绍了HTTPS协议，对比HTTP，强调了其安全性，包括SSL/TLS加密、身份认证及数据完整性保护。探讨了HTTPS的工作原理，证书的申请与配置，以及在Tomcat和SpringBoot中的应用。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

简介

超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息，HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此，HTTP协议不适合传输一些敏感信息，比如：信用卡号、密码等支付信息。
为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS，为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。

HTTP和HTTPS的基本概念

  1. HTTP：是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输减少。
  2. HTTPS：是以安全为目标的HTTP通道，即HTTP下加入SSL层，HTTPS的安全基础是SSL。
  3. HTTPS协议的主要作用可以分为两种：
    a. 建立一个信息安全通道，来保证数据传输的安全；
    b. 确认网站的真实性。

HTTP与HTTPS有什么区别？

HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全，为了保证这些隐私数据能加密传输，于是网景公司设计了SSL（Secure Sockets Layer）协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS。简单来说，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比HTTP协议安全。

  1. HTTPS协议需要到CA申请证书。
  2. HTTP是超文本传输协议，信息是明文传输，HTTPS则是具有安全性的SSL加密传输协议。
  3. HTTP和HTTPS使用的是完全不同的连接方式，用的端口也不一样，HTTP是80，HTTPS是443。
  4. HTTP的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP协议安全。

HTTPS的工作原理

HTTPS能够加密信息，以免敏感信息被第三方获取，所以很多银行网站或电子邮箱等等安全级别较高的服务都会采用HTTPS协议。
在这里插入图片描述

客户端在使用HTTPS方式与Web服务器通信时有以下几个步骤，如图所示。

  1. 客户使用HTTPS的URL访问Web服务器，要求与Web服务器建立SSL连接。
  2. Web服务器收到客户端请求后，会将网站的证书信息（证书中包含公钥）传送一份给客户端。
  3. 客户端的浏览器与Web服务器开始协商SSL连接的安全等级，也就是信息加密的等级。
  4. 客户端的浏览器根据双方同意的安全等级，建立会话密钥，然后利用网站的公钥将会话密钥加密，并传送给网站。
  5. Web服务器利用自己的私钥解密出会话密钥。
  6. Web服务器利用会话密钥加密与客户端之间的通信。
    在这里插入图片描述

HTTPS的优点

尽管HTTPS并非绝对安全，掌握根证书的机构、掌握加密算法的组织同样可以进行中间人形式的攻击，但HTTPS仍是现行架构下最安全的解决方案，主要有以下几个好处：

  1. 使用HTTPS协议可认证用户和服务器，确保数据发送到正确的客户机和服务器；
  2. HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全，可防止数据在传输过程中不被窃取、改变，确保数据的完整性。
  3. HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人攻击的成本。
  4. 谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”。

HTTPS的缺点

虽然说HTTPS有很大的优势，但其相对来说，还是存在不足之处的：

  1. HTTPS协议握手阶段比较费时，会使页面的加载时间延长近50%，增加10%到20%的耗电；
  2. HTTPS连接缓存不如HTTP高效，会增加数据开销和功耗，甚至已有的安全措施也会因此而受到影响；
  3. SSL证书需要money，功能越强大的证书费用越高，个人网站、小网站没有必要一般不会用。
  4. SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗。
  5. HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。

HTTP 切换到HTTPS

如果需要将网站从http切换到https到底该如何实现呢？
这里需要将页面中所有的链接，例如js，css，图片等等链接都由http改为https。例如：

http://www.baidu.com改为https://www.baidu.com

BTW，这里虽然将http切换为了https，还是建议保留http。所以我们在切换的时候可以做http和https的兼容，具体实现方式是，去掉页面链接中的http头部，这样可以自动匹配http头和https头。例如：将http://www.baidu.com改为//www.baidu.com。然后当用户从http的入口进入访问页面时，页面就是http，如果用户是从https的入口进入访问页面，页面即使https的。

再来看一下https协议：

我们都知道HTTP并非是安全传输，而HTTPS是相对安全的，在传输数据之前，需要客户端和服务进行一次握手，在握手过程中确立双方加密传输数据的密码信息，然后在后续通信过程中就使用协商密钥进行对称加密通信。具体过程见下图：
　　在这里插入图片描述

  1. 客户端发起HTTPS请求
    即用户在浏览器里输入一个https网址连接到服务器端口。
  2. 服务端初步响应
    采用HTTPS协议的服务器必须要有一套数字证书，这套证书其实就是一对公钥和私钥，可以想象成一把钥匙和一个锁头，只有你一个人有这把钥匙，你可以把锁头给别人，别人可以用这个锁把重要的东西锁起来，然后发给你，因为只有你一个人有这把钥匙，所以只有你才能看到被这把锁锁起来的东西。将证书发回给浏览器，证书包含证书的颁发机构、过期时间等。
  3. 客户端解析证书
    客户端首先会验证证书是否有效，比如颁发证书的机构是否合法，证书中包含的网站地址是否与正在访问的地址一致、过期时间等，如果发现异常，则提示证书存在问题，如果证书没有问题，那么客户端就生成一个随机值，然后用证书对该随机值进行加密。
  4. 客户端发送加密信息
    客户端发送的是用证书加密后的随机值。
  5. 服务器解密信息
    服务端用私钥解密后，得到了客户端传过来的随机值，然后把内容通过该值进行对称加密（所谓对称加密就是将信息和私钥通过某种算法混合在一起）。
  6. 服务器发送加密后的信息
    服务器发送的是服务端用随机值进行对称加密后的信息。
  7. 客户端解密信息
    客户端用之前生成的随机值解密服务端传过来的信息，客户端就获取了解密后的内容。

Tomcat9 配置 SSL

  1. 解压已下载保存到本地的Tomcat证书文件。
    解压后您将看到文件夹中有2个文件，您可为两个证书文件重命名。
    证书文件（domain name.pfx）：以.pfx为后缀或文件类型。
    密码文件（pfx-password.txt）：以.txt为后缀或文件类型。
    在这里插入图片描述
  2. 在Tomcat9 安装目录下新建cert目录，将解压的证书和密码文件拷贝到cert目录下。
  3. 修改配置文件server.xml，并保存
    去掉以下内容的注释：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11AprProtocol"
               maxThreads="150" SSLEnabled="true" >
        <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
        <SSLHostConfig>
            <Certificate certificateKeyFile="conf/localhost-rsa-key.pem"
                         certificateFile="conf/localhost-rsa-cert.pem"
                         certificateChainFile="conf/localhost-rsa-chain.pem"
                         type="RSA" />
        </SSLHostConfig>
    </Connector>

增加配置，SSL默认端口号为443

 <Connector port="443"
               protocol="HTTP/1.1"
               SSLEnabled="true"
               scheme="https"
               secure="true"
               keystoreFile="Tomcat安装目录/cert/domain name.pfx"
               keystoreType="PKCS12"
           keystorePass="证书密码"
          clientAuth="false"
          SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
         ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

ps:如果需要HTTP强制跳转HTTPS可以在web.xml中配置如下信息:

<login-config>  
    <!-- Authorization setting for SSL -->  
    <auth-method>CLIENT-CERT</auth-method>  
    <realm-name>Client Cert Users-only Area</realm-name>  
</login-config>  
<security-constraint>  
    <!-- Authorization setting for SSL -->  
    <web-resource-collection >  
        <web-resource-name >SSL</web-resource-name>  
        <url-pattern>/*</url-pattern>  
    </web-resource-collection>  
    <user-data-constraint>  
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
    </user-data-constraint>  
</security-constraint>

Spring Boot 配置SSL

方式一:

  1. 下载SSL证书
    在这里插入图片描述
  2. 将domain name.pfx导入resources目录下
  3. 在properties进行以下配置
server:
  port: 443
  ssl:
    key-store: classpath:domain name.pfx
    #SSL证书密码
    key-store-password: 证书密码
    #证书类型
    key-store-type: PFX

方式二：
使用JDK中keytool是一个证书管理工具，压缩成Tomcat所支持的.jks

  1. 下载SSL证书
    在这里插入图片描述
  2. 进入JDK下的bin目录
  3. 输入命令
keytool -importkeystore -srckeystore D:\domain name.pfx -destkeystore ssl.jks -srcstoretype PKCS12 -deststoretype JKS
  1. 输入密码，三次输入的密码都要和解压的证书里密码一致，不一致有可能出错
  2. 记下别名：alias
  3. 在bin目录下找到后缀为jks的文件
  4. 将后缀为jks文件导入resources目录下
  5. 在properties进行以下配置
server:
  port: 443
  ssl:
    key-store: classpath:ssl.jks
    #SSL证书密码
    key-store-password: 证书密码
    #证书类型
    key-store-type: JKS
    #证书别名
    key-alias: alias

Spring Boot HTTP转HTTS

@Configuration
public class TomcatConfig {
    @Bean
    TomcatEmbeddedServletContainerFactory tomcatEmbeddedServletContainerFactory() {
        TomcatEmbeddedServletContainerFactory factory = new TomcatEmbeddedServletContainerFactory(){
            @Override
            protected void postProcessContext(Context context) {
                SecurityConstraint constraint = new SecurityConstraint();
                constraint.setUserConstraint("CONFIDENTIAL");
                SecurityCollection collection = new SecurityCollection();
                collection.addPattern("/*");
                constraint.addCollection(collection);
                context.addConstraint(constraint);
            }
        };
        factory.addAdditionalTomcatConnectors(createTomcatConnector());
        return factory;
    }

    private Connector createTomcatConnector() {
        Connector connector = new
                Connector("org.apache.coyote.http11.Http11NioProtocol");
        connector.setScheme("http");
        connector.setPort(80);
        connector.setSecure(false);
        connector.setRedirectPort(443);
        return connector;
    }
}
传输层安全协议 SSL/TLS 详细介绍
dvlinker的技术专栏
03-25 5022
本文对SSL和TLS协议进行一个详细的介绍，以便于大家更直观的理解和认识标准TLS协议。
Django云服务器配置Nginx站点SSL证书HTTPS协议
热门推荐
Mr数据杨
02-10 1万+
如果自己已经能独立使用 Python 的 Django 框架完成一个项目了，现在需要进行部署服务以及相关项目分发的二级域名了。不过至于什么是 http 和 https 这里不做科普，不懂的请找度娘。一句话开启 https 协议为了解决这个隐患和保证数据的传输安全，HTTPS协议(安全套接字层超文本传输协议)诞生了。它在 http 的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信数据加密。
HTTP 安全：HTTPS 原理与配置
01-16 2386
HTTP 安全：HTTPS 原理与配置
Http和Https配置
时羽天的博客
07-21 1077
Linux配置Httpd服务虚拟主机和Https
http、SSL、TLS、https、证书
weixin_45927841的博客
07-03 1115
证书包含如下内容Issued To：证书的申请者，即服务侧申请证书时登记的信息Issued By：证书的颁发者，有公证力的组织Validity Period：证书的有效期信息SHA-256 Fingerprints：证书的指纹信息和登记的公钥指纹码：证书的唯一标识（保证证书的完整性）。被Hash加密过服务侧拿到证书需要确保两个事情才能信任证书1.证书的完整性：证书在传输过程中是否被人截获修改篡改过？比如证书被黑客拦截，对里面的内容进行的修改（数据篡改）
nginx配置http及https
诚不我欺的博客
12-03 2061
现在日常工作中的项目大多数都是采用前后端分离，就用到了nginx进行反向代理、处理静态资源等；因此，记录整理了nginx一些常用的配置；设置转发请求的请求头host字段为，客户端主机；：设置转发请求的请求头X-Real-IP字段为，客户端真实ip(准确的说是上一节点的ip)；：设置X-Forwarded-For字段，用来记录原始ip地址；：将请求重定向为指定协议，如：https配置中，即是强制转https；以上参数可以配置在，http、server、location等块中，区别是不同块作用域不同；
ssl
ccx8583的博客
04-06 874
ssl 锁定 本词条由“科普中国”百科科学词条编写与应用工作项目审核。 SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密 解析 Secure Socket Layer，为Netsca
2022-20 | HTTP升级HTTPS | SSL证书配置
weixin_41379244的博客
05-19 650
什么是SSL证书 关于SSL证书，推荐大家阅读下面两篇好文： 彻底搞懂HTTPS的加密原理 免费的SSL证书和收费的证书有什么区别？ 简单讲，配置SSL证书的好处： 使用HTTPS协议通信，数据传输更安全 浏览网页的时候地址栏左侧会有一把小锁🔒 一些Web API和HTTP特性只有配置SSL证书才支持，比如SameSite、window.showSaveFilePicker() 如果获取证书 阿里云对我们非常友好，注册阿里云的用户可以申请免费DV级别SSL证书，证书只允许绑定单域名，单个证书
Java中的SSL及HTTPS协议实例源码
05-16
SSL是一种用于安全传输数据的协议，而HTTPS则是HTTP协议与SSL/TLS（Transport Layer Security）的结合，确保了数据在网络中的加密传输。 首先，了解SSL的基本原理。SSL通过建立一个加密的连接，确保数据在客户端...
【Tomcat服务器配置】TLS/SSL证书安装指南：PFX与JKS格式证书配置及HTTPS强制跳转设置
最新发布
07-21
主要针对PFX和JKS两种格式的证书安装流程进行了说明，包括解压证书文件、创建cert目录存放证书、修改server.xml配置文件以支持HTTPS协议、配置web.xml文件实现HTTP到HTTPS的强制跳转，以及最后重启Tomcat并验证证书...
VC http/https(包含单向认证、双向认证源码、SSL协议设置)
11-14
VC http/https(包含单向认证、双向认证源码、SSL协议设置) 这个类是从我现在正在开发的代码中扣出来的，但是耦合性应该不高，可以加入到其他工程使用，带S的函数是针对多线程压力测试几乎没有捕获异常。代码以先...
springboot配置支持https和http双协议
o12321o的博客
08-07 896
springboot配置支持https和http双协议生成证书命令证书导入到项目resource目录即可springboot加入配置java类文件springboot下yml配置添加内容验证配置是否成功效果如下 生成证书命令 此处切换到jdk的bin目录下，执行下面命令生成文件server.keystore.jks，参数就不一一说明，自行查找相关资料 keytool -genkey -alias tomcat -keyalg RSA -keysize 2048 -keypass
为网站配置安全证书ssl，将http变成https，小白必看保姆级教程
lz040222的博客
01-28 1007
为网站配置安全证书ssl，将http变成https，小白必看!! ① 在阿里云中申请免费ssl ② 下载对应的 Tomcat 和 Ngnix 证书，放行443 端口 ③  重新配置springboot项目 与 vue项目，重新打包 ④ 进入宝塔面板，修改配置过的 java的配置文件 与 php项目文件配置，最后再配置Ngnix
HTTPS域名及SSL证书常识及配置
qq_34583944的博客
08-22 1万+
在握手过程中，网站会向浏览器发送SSL证书，SSL证书和我们日常用的身份证类似，是一个支持HTTPS网站的身份证明，SSL证书里面包含了网站的域名，证书有效期，证书的颁发机构以及用于加密传输密码的公钥等信息，由于公钥加密的密码只能被在申请证书时生成的私钥解密，因此浏览器在生成密码之前需要先核对当前访问的域名与证书上绑定的域名是否一致，同时还要对证书的颁发机构进行验证，如果验证失败浏览器会给出证书错误的提示。根证书是最关键的一个证书，如果根证书不受信任，它下面颁发的所有证书都不受信任。
开心终于把ssl配置完成，实现https访问
qq_37996815的博客
12-24 7270
弄了一天终于把nginx下的ssl配置完成，走了太多弯路了，不过终于还是经过自己努力解决了问题，开心 历程： 由于我上个月个申请了一个腾讯云的服务器，根据腾讯云的开发文档配置了LNMP，虽然跟着教程一步步这里写代码片配置看似挺简单的，但是中间我还是走了许多的弯路，主要是归咎于自己的linux学的不咋地，很多shell语句不熟悉，对linux的文件目录结构不清晰导致的； 由于现在我要将我的服务器
linux下httpssl服务,Linux下ssl+http 实现 HTTPS 访问服务器设置
weixin_33637634的博客
05-07 1416
yum install httpd php1.配置CA服务器vim /etc/pki/tls/openssl.cnf修改第45行，更改存放证书目录dir = ../../CAdir = /etc/CA修改第178行，让服务器支持自签名#basicConstraints=CA:FALSE自签名的证书可以使用basicConstraints=CA:TRUEcd /etc/pki/CA配置生成C...
http 与https 安全链接
weixin_30457881的博客
11-14 186
安全连接 Web应用最常见的用途之一是电子商务，可以利用Web服务器端程序使人们能够网络购物，需要指出一点是，缺省情况下，通过Internet发送信息是不安全的，如果某人碰巧截获了你发给朋友的一则消息，他就能打开它，假想在里面有你的信用卡号码，这会有多么糟糕，幸运的是，很多Web服务器以及Web浏览器都有创立安全连接的能力，这样它们就可以安全的通信了。 通过Internet提供安全连接最常见的...
HTTP与SSL协议
qq_43573722的博客
02-19 2664
一、HTTP协议简要分析 ** 1、概念解析 ** 1.）什么是超文本？（HyperText） 超文本是包含有超链接(Link)和各种多媒体元素标记(Markup)的文本。这些超文本文件彼此链接，形成网状(Web)，因此又被称为网页(Web Page)。这些链接使用URL表示。最常见的超文本格式是超文本标记语言HTML。 2.）什么是URL？： 能唯一地标识万维网中的某一个文档。URL由协议、主机...
HTTP SSL (HTTPS)
mrzwzheng的博客
04-30 1万+
HTTP SSL (HTTPS) XLsn0w 关注2016.12.19 11:08* 字数 10135 阅读 1079评论 2喜欢 25一、作用不使用SSL/TLS的HTTP通信，就是不加密的通信。所有信息明文传播，带来了三大风险。（1）窃听风险（eavesdropping）：第三方可以获知通信内容。（2）篡改风险（tampering）：第三方可以修改通信内容。（3）冒充风险（pretendin...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值