深入解析 HTTPS：它是如何工作的以及为什么它是现代 Web 的基石

2026-09-05 05:35:34 0条评论 115次阅读 0人点赞

你是否想过，当你在浏览器地址栏输入一个网址并按下回车键后，幕后究竟发生了什么？或者，为什么有些网站地址旁边有一个精致的小挂锁图标，而有些却显示“不安全”？作为开发者，我们每天都在构建或使用 Web 应用，理解 HTTPS（超文本传输安全协议） 的工作原理不仅仅是理论知识，更是保障用户安全和构建可信服务的必备技能。

在这篇文章中，我们将深入探讨 HTTPS 的核心机制。我们不仅会学习它是如何加密数据的，还会通过实际的代码示例来看看它在服务器配置中的具体应用。我们将一起揭开 SSL/TLS 握手的神秘面纱，并探讨为什么对于现代网络来说，HTTPS 是绝对不可或缺的。

为什么我们需要 HTTPS？

在我们深入了解 HTTPS 之前，让我们先回顾一下它的前身——HTTP。HTTP（超文本传输协议）是 Web 的基础通信协议，但它有一个致命的缺陷：明文传输。

想象一下，你正在通过 HTTP 协议在一个咖啡店的公共 Wi-Fi 下登录你的银行账户。当你输入用户名和密码并点击“登录”时，这些数据会以纯文本的形式穿过咖啡店的无线路由器、ISP 的服务器，最终到达银行的服务器。在这个过程中，任何一个处于同一网络下的“中间人”都可以轻松地拦截并读取你的数据包。这就像是在写明信片——任何经手邮局的人都能看到你的秘密。

> 注意： 任何网站，特别是那些需要登录凭据、处理支付信息或传输个人数据的网站，都必须使用 HTTPS。像 Google Chrome 这样的现代浏览器非常重视用户隐私，如果网站不使用 HTTPS，地址栏中就会显眼地标记为“不安全”。这不仅影响用户体验，还会直接破坏网站的信誉。

HTTPS 的出现正是为了解决这个问题。它是 HTTP 的安全版本，通过在传输层添加 SSL/TLS 协议，对数据进行加密和身份验证。简单来说，HTTPS 就是 HTTP + SSL/TLS。

HTTPS 的工作原理：从握手到数据传输

HTTPS 并不是一种全新的协议，它只是在 HTTP 和 TCP/IP 之间插入了一个安全层。让我们通过一个形象的流程来理解这个过程。

1. 建立连接与“握手”

当你在浏览器中输入 https://www.example.com 时，你的浏览器（客户端）会与服务器建立 TCP 连接。随后，著名的 SSL/TLS 握手 开始了。这个过程是 HTTPS 安全的核心。

!HTTPS工作原理图解

虽然具体的握手细节取决于协商出的加密套件，但通常包含以下关键步骤（我们以 TLS 1.2 或 1.3 为例）：

  • 客户端问候：浏览器向服务器发送一个“Client Hello”消息。这个消息包含了浏览器支持的加密算法列表、一个随机数以及一个会话 ID。
  • 服务器问候与证书：服务器收到请求后，回复“Server Hello”消息，确认选择的加密算法，并发送服务器的 数字证书。这个证书就像是服务器的“身份证”，由受信任的第三方机构（CA）签发，里面包含了服务器的公钥。服务器也会发送自己的随机数。
  • 验证证书：浏览器收到证书后，会检查它是否由受信任的 CA 签发、是否过期，以及证书中的域名是否与当前访问的域名一致。
  • 生成会话密钥：浏览器使用服务器证书中的公钥加密一个随机数（预主密钥），发送给服务器。服务器使用自己的私钥解密得到这个随机数。此时，客户端和服务器都拥有了三个随机数（客户端随机、服务器随机、预主密钥），它们利用这些数据通过伪随机函数生成同一个 会话密钥。
  • 完成握手：双方发送“Finished”消息，确认握手完成，后续的通信将使用这个会话密钥进行对称加密。

2. 加密数据传输

握手完成后，我们就进入了一个安全通道。此时，浏览器和服务器使用刚才协商好的 对称密钥 对发送的数据进行加密和解密。

  • HTTP 层：你看到的 HTML、JSON 数据仍然保持不变，应用层并不感知底层的变化。
  • 安全层：数据在发出前被 SSL/TLS 层加密，变成一串乱码；到达接收端后，再被解密还原。

这意味着，即使黑客截获了数据包，他们看到的也只是一堆随机的、不可读的字符，完全无法理解其中的含义。

深入理解加密技术：对称与非对称

HTTPS 的强大之处在于它结合了两种加密技术的优势。

非对称加密：建立信任

在握手阶段，主要使用 非对称加密，也称为公钥加密。

  • 公钥：这是公开的，任何人都可以获取。它用于加密数据。在 HTTPS 中，服务器将公钥放在证书中发给客户端。
  • 私钥：这是服务器严格保密的，绝不能泄露。它用于解密由公钥加密的数据。

工作原理：客户端用公钥加密“预主密钥”，只有拥有对应私钥的服务器才能解密它。这确保了只有合法的服务器才能参与通信。

对称加密：高效传输

一旦会话密钥建立，后续的数据传输就切换到了 对称加密。

对称加密意味着加密和解密使用的是同一个密钥（会话密钥）。相比于非对称加密，对称加密的速度要快得多（通常快成百上千倍）。因此，HTTPS 使用非对称加密来安全地交换密钥，然后使用对称加密来高效地传输大量数据。

让我们来看一个 Python 示例，演示这两种加密方式的区别（使用 cryptography 库）：

# 安装依赖：pip install cryptography

from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives import serialization, hashes
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.backends import default_backend
import os

print("--- HTTPS 加密原理演示 ---")

# ==============================
# 1. 非对称加密 (用于握手交换密钥)
# ==============================
print("
步骤 1: 生成非对称密钥对 (模拟服务器端)")
private_key = rsa.generate_private_key(
    public_exponent=65537,
    key_size=2048,
    backend=default_backend()
)
public_key = private_key.public_key()

print("私钥已生成并安全保存在服务器内存中。")
print("公钥已发送给客户端 (浏览器)。")

# 模拟客户端生成一个随机的“会话密钥"
session_key = os.urandom(32) 
print(f"
步骤 2: 客户端生成会话密钥: {session_key.hex()}")

# 客户端使用公钥加密会话密钥
encrypted_session_key = public_key.encrypt(
    session_key,
    padding.OAEP(
        mgf=padding.MGF1(algorithm=hashes.SHA256()),
        algorithm=hashes.SHA256(),
        label=None
    )
)
print(f"步骤 3: 客户端用公钥加密后的数据: {encrypted_session_key.hex()[:64]}...")

# 服务器使用私钥解密会话密钥
decrypted_session_key = private_key.decrypt(
    encrypted_session_key,
    padding.OAEP(
        mgf=padding.MGF1(algorithm=hashes.SHA256()),
        algorithm=hashes.SHA256(),
        label=None
    )
)
print(f"步骤 4: 服务器用私钥解密得到会话密钥: {decrypted_session_key.hex()}")

assert session_key == decrypted_session_key
print("✅ 密钥交换成功！现在双方都知道了会话密钥。")

# ==============================
# 2. 对称加密 (用于传输实际数据)
# ==============================
print("
步骤 5: 使用会话密钥进行对称加密通信")

# 模拟应用层数据
message = b"Hello World! This is a secure message."

# 初始化向量 (IV)
iv = os.urandom(16)

# 创建加密器 (这里使用 AES-CBC 模式)
cipher = Cipher(algorithms.AES(session_key), modes.CBC(iv), backend=default_backend())
encryptor = cipher.encryptor()

# 加密数据
ciphertext = encryptor.update(message) + encryptor.finalize()
print(f"加密后的密文: {ciphertext.hex()}")

# 创建解密器
decryptor = Cipher(algorithms.AES(session_key), modes.CBC(iv), backend=default_backend()).decryptor()

# 解密数据
decrypted_message = decryptor.update(ciphertext) + decryptor.finalize()
print(f"解密后的明文: {decrypted_message.decode()}")

代码解析

  • 密钥生成：我们首先生成了一对 RSA 密钥。私钥留给自己，公钥发给对方。
  • 安全交换：注意看 encrypted_session_key。如果没有私钥，想要还原这个数据在计算上几乎是不可能的。这就是 HTTPS 防止中间人窃听的关键。
  • 高效加密：拿到 session_key 后，我们切换到了 AES 对称加密。这个过程非常快，适合处理大的 HTML 文件或图片。

常见的加密算法

在实际配置服务器时，我们经常会听到一些术语，比如 RSA 和 SHA。让我们澄清一下它们在 HTTPS 中的角色：

  • RSA (Rivest–Shamir–Adleman)：这是一种非对称加密算法。在 HTTPS 握手中，它主要用于验证身份和交换密钥。虽然它很安全，但计算成本高。
  • SHA-256 (Secure Hash Algorithm)：这是一个哈希算法，不是加密算法。它用于确保数据的完整性。当你下载一个文件时，网站提供的 SHA-256 校验和就是用的这个技术。在 TLS 中，它用于生成数字签名和验证证书是否被篡改。

配置实战：如何在 Nginx 中启用 HTTPS

作为开发者，我们不仅要懂原理，还要会配置。让我们看看如何在 Nginx 服务器上配置 HTTPS。你需要准备两样东西：

  • 证书文件：例如 example.com.crt
  • 私钥文件：例如 example.com.key

你可以通过像 Let‘s Encrypt 这样的免费 CA 获取证书，或者用于开发目的自己生成一个。

# /etc/nginx/conf.d/example.com.conf

server {
    # 监听 443 端口 (HTTPS 默认端口)
    listen 443 ssl;
    server_name www.example.com;

    # --- 关键配置：指定证书路径 ---
    # 公钥证书文件
    ssl_certificate /etc/ssl/certs/example.com.crt;
    # 私钥文件 (注意：这非常敏感，必须保护其权限)
    ssl_certificate_key /etc/ssl/private/example.com.key;

    # --- 推荐的安全设置 ---
    
    # 指定 SSL 协议版本，放弃不安全的旧版本
    ssl_protocols TLSv1.2 TLSv1.3;
    
    # 指定加密套件 ( Cipher Suites )
    # 这里我们告诉服务器优先使用高强度、前向安全的算法
    ssl_ciphers ‘ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384‘;
    ssl_prefer_server_ciphers on;

    # 启用 HSTS (HTTP Strict Transport Security)
    # 这告诉浏览器："在接下来的1年内，必须通过 HTTPS 访问我，不要尝试 HTTP"
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 网站根目录配置
    root /var/www/html;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

# --- HTTP 重定向到 HTTPS ---
# 这是一个最佳实践：当用户输入 http:// 时，自动跳转到 https://
server {
    listen 80;
    server_name www.example.com;
    return 301 https://$host$request_uri;
}

配置详解

在上面的 Nginx 配置中，我们做了几件关键的事：

  • 监听端口：我们将监听端口从默认的 80（HTTP）改为 443（HTTPS），并开启 ssl 开关。
  • 证书路径：通过 INLINECODE10692224 和 INLINECODEdef8df13 指令告诉服务器去哪里找你的“身份证”和“保险箱钥匙”。
  • 协议优化：ssl_protocols TLSv1.2 TLSv1.3; 这一行非常重要。它禁用了已被证明不安全的 SSL 和 TLS 1.0/1.1。TLS 1.3 是目前的最新版本，握手速度更快，安全性更高。
  • 强制跳转：下面的第二个 server 块捕获所有 80 端口的流量，并发送 301 永久重定向，强制用户使用加密连接。

HTTP 与 HTTPS：不仅是安全性的差异

很多人可能会问：“HTTPS 会让我的网站变慢吗？”这是一个非常好的问题。

特性

HTTP

HTTPS :—

:—

:— 全称

HyperText Transfer Protocol

HyperText Transfer Protocol Secure URL 前缀

INLINECODEcc0fff76

INLINECODE4a41659b (多了个 ‘s‘ 代表 Security) 数据形式

明文（人类可读）

密文（乱码，需解密） 端口

80

443 速度

理论上略快（无需握手开销）

实际上已经非常接近 HTTP，且 TLS 1.3 弥补了握手延迟 SEO 优势

无

搜索引擎（如 Google、百度）优先收录 HTTPS 网站

关于性能的真相

早期的 HTTPS 确实因为 SSL/TLS 握手需要额外的往返时间（RTT）而显得略慢。但是，随着技术的发展：

  • 硬件加速：现代 CPU 都有针对 AES 加密的指令集优化，解密数据极其迅速。
  • HTTP/2 和 HTTP/3：这些新协议强制要求使用 HTTPS。它们引入了多路复用、头部压缩等特性，实际上使得 HTTPS 的加载速度往往比老式的 HTTP 还要快！

所以，性能已经不是拒绝 HTTPS 的理由了。

最佳实践与安全检查清单

为了确保你的 HTTPS 配置坚不可摧，我们建议你遵循以下最佳实践：

  • 使用强密码学配置：确保禁用弱加密算法（如 RC4, DES, MD5）。
  • 证书管理：及时续签证书。Let‘s Encrypt 证书有效期只有 90 天，建议设置自动续期任务。
  • 混合内容检查：如果你的 HTTPS 页面里引用了 HTTP 的图片或脚本（混合内容），浏览器会拦截这些内容或显示警告。务必确保所有资源都通过 HTTPS 加载。
  • HSTS (HTTP Strict Transport Security)：正如我们在 Nginx 配置中看到的那样，开启 HSTS 可以防止协议降级攻击，确保通信始终加密。

总结

HTTPS 不仅仅是一个协议，它是现代互联网信任的基石。通过结合非对称加密的身份验证能力和对称加密的高效传输能力，它为我们构建了一个既能保护隐私，又不牺牲性能的安全网络环境。

从开发者的角度来看，启用 HTTPS 是一项低投入、高回报的投资。它保护了你的用户，提升了网站的 SEO 排名，并且是接入现代 Web API（如 Service Workers, Geolocation）的前提条件。

接下来你可以做什么？

  • 检查你自己的个人项目或公司网站是否启用了 HTTPS。
  • 尝试使用 OpenSSL 命令行工具查看你喜欢的网站的证书信息：
    •     openssl s_client -connect www.google.com:443
  • 如果还没有证书，试着为你的项目申请一个免费的 Let‘s Encrypt 证书。

希望这篇文章能让你对 HTTPS 的工作原理有了一个清晰且深入的理解！保持安全，继续编码。

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。如需转载，请注明文章出处豆丁博客和来源网址。https://shluqu.cn/22784.html
点赞
0.00 平均评分 (0% 分数) - 0 票

相关文章美国1G带宽/1T流量高速vps $17.99/年