Cookie安全加固：HttpOnly/SameSite防御XSS跨站攻击

第3章 第16-17天

HTTP协议：Web世界的通信基石

大家好，今天我们来拆解互联网的"普通话"——HTTP协议。从刷校园论坛到提交实验报告，背后都是它在默默工作。我会用浏览器访问教务系统、调试实验室网站这些真实场景，带你理解HTTP如何构建现代Web通信。

---

一、HTTP协议基础：无状态的请求-响应模型

协议本质：基于TCP的应用层协议（默认端口80）
核心特点：

• 无状态：每个请求独立处理（通过Cookie解决）
• 明文传输：可读性高但安全性低（HTTPS解决）
• 灵活扩展：头部字段支持各种功能扩展

# 使用Telnet模拟HTTP请求（实验室服务器）
telnet lab-web.pinginglab.net 80
GET /index.html HTTP/1.1
Host: lab-web.pinginglab.net
# 空行结束请求

---

二、HTTP报文结构：请求与响应的骨架

1. 请求报文解剖：

GET /api/reports HTTP/1.1← 请求行（方法+URI+版本）
Host: edu.pinginglab.net← 头字段开始
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: application/json
Cookie: session_id=abc123← 身份凭证
Content-Type: application/x-www-form-urlencoded
← 空行分隔
name=张三&lab=网络协议实验← 请求体（可选）

2. 响应报文解析：

HTTP/1.1 200 OK← 状态行（版本+状态码）
Server: nginx/1.18.0← 头字段开始
Date: Mon, 05 Jun 2023 10:00:00 GMT
Content-Type: application/json
Set-Cookie: session=xyz789; Path=/
Content-Length: 128← 实体头
← 空行分隔
{← 响应体
"status": "success",
"data": {...}
}

---

三、核心头字段解析：Web通信的元信息

通用头字段（请求/响应共用）：

字段名	功能	实验场景示例
Connection	控制连接状态	Connection: keep-alive 复用TCP
Cache-Control	缓存控制指令	max-age=3600 缓存实验报告1小时

请求专用字段：

字段名	功能	实验室案例
Cookie	携带会话凭证	保持教务系统登录状态
Referer	来源页面	统计实验文档访问来源
Authorization	身份验证令牌	Bearer xyz API访问令牌

响应专用字段：

字段名	功能	校园应用
Set-Cookie	设置会话凭证	登录成功后设置校园通行证
Location	重定向目标地址	302重定向到新版选课系统
WWW-Authenticate	要求客户端认证	访问受限实验室资源时触发

实体头字段（描述数据）：

字段名	功能	技术文档用途
Content-Type	实体数据类型	application/json 实验数据API
Content-Length	实体数据长度（字节）	文件下载时显示进度
Last-Modified	资源最后修改时间	实验报告更新检测

---

四、HTTP方法：定义操作意图

方法	语义	实验室场景
GET	获取资源	查看实验成绩列表
POST	创建资源	提交实验报告
PUT	替换完整资源	更新个人档案全部信息
PATCH	修改部分资源	仅更新电话号码
DELETE	删除资源	撤销错误的实验预约

// 使用Fetch API提交实验报告
fetch('https://lab-api.edu/reports', {
method: 'POST',
headers: {
'Content-Type': 'application/json',
'Authorization': 'Bearer ' + getToken()
},
body: JSON.stringify({
course: '网络协议分析',
content: 'HTTP抓包实验数据...'
})
})
.then(response => {
if(response.status === 201) {
console.log('提交成功！');
}
})

---

五、状态码：服务器响应的语言

状态码	类别	常见状态	校园场景
1xx	信息	100 Continue	大文件上传前确认
2xx	成功	200 OK	正常访问课程页面
		201 Created	实验预约成功
3xx	重定向	301 Moved Permanently	学校网站域名变更
		302 Found	临时跳转到选课验证页面
4xx	客户端错误	400 Bad Request	提交的实验数据格式错误
		401 Unauthorized	未登录访问成绩查询
		404 Not Found	访问已删除的实验文档
5xx	服务器错误	500 Internal Error	教务系统数据库崩溃
		503 Service Unavailable	选课系统高峰期限流

---

六、Wireshark实战：解密浏览器通信

实验目标：捕获访问校园网站的HTTP流量

1. 抓包准备：

# 过滤HTTP流量
http && ip.addr == 202.119.112.1# 学校服务器IP

2. 关键分析点：

• 请求/响应结构：查看头字段和消息体
• Cookie传递：观察Cookie和Set-Cookie字段
• 内容编码：识别gzip压缩的响应体
• 状态码：定位404/500等错误

# 典型抓包示例
Frame 15: HTTP GET /courses/net-protocol
Request Method: GET
Request URI: /courses/net-protocol
Host: elearning.edu
Cookie: session=abcd1234

Frame 28: HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Encoding: gzip
Content-Length: 3584
[HTML数据...]

---

七、版本演进：从HTTP/1.1到HTTP/3

1. HTTP/1.1痛点：

• 队头阻塞（HOL blocking）

timeline 请求1 ： 图片加载 请求2 ： 等待请求1完成 请求3 ： 等待请求2完成

2. HTTP/2核心改进：

• 二进制分帧
• 多路复用（Multiplexing）
• 头部压缩（HPACK）

# 查看网站是否支持HTTP/2
curl -I --http2 https://pinginglab.net
HTTP/2 200

3. HTTP/3革命：

• 基于QUIC协议（UDP）
• 零RTT连接建立
• 改进的拥塞控制

---

总结：HTTP的工程智慧

1. 简单可扩展：文本协议+头部字段机制
2. 无状态设计：通过Cookie/Session保持状态
3. 缓存优化：减少重复数据传输
4. 分层演进：保持兼容性同时创新

动手实验：

1. 用Chrome开发者工具分析教务网站请求
2. 编写Python脚本发送带Cookie的HTTP请求
3. 在实验室网络抓包分析选课系统流量

当你在深夜提交实验报告时，是HTTP协议承载着你的每一次点击。理解它，就理解了Web世界的基础语言。