https实现原理

最近看的一篇面试总结，原作者写的有一丢丢问题，下面这篇讲的很清楚

在此之前，需要了解对称加密和非对称加密的原理和效率对比

对称加密，就是加密和解密用的同一把密钥，加密和解密速度快

非对称加密，加密用公钥，解密用密钥，公钥是公开的，但在解密的时候只有用相应的密钥才能解密，加密和解密速度慢。

https解决的http的三大问题：

基于以上三大问题，讲下https在进行传输的时候是如何解决的：

如上1，3已经被解决，对于消息完整性，是通过数字签名实现，S通过浏览器支持的Hash算法和用私钥加密摘要信息发送给C，C通过公钥解析获得相应信息，对收到的原文进行在摘要信息匹配，一样则说明消息具有完整性。

常见的网络攻击

跨站脚本攻击，指的是攻击者通过页面输入恶意执行代码，比如嵌入JavaScript执行代码，发送到服务端，服务端没有进行过滤操作，就可能直接保存到数据库，页面刷新的内容直接从数据库里拿到，就会执行这段JavaScript代码，比如alert(“”)函数等等

原因：没有对用户输入的数据进行一个过滤和转义操作

解决方案：

跨站请求伪造，当用户成功登录信任的A系统，在未退出的情况下去请求未信任的B系统，假如B没有做CSRF攻击防御，B系统就会直接获取A系统里的cookie，然后直接去请求A系统的接口，达到未登录A系统而实现操作A系统的目的，从而进行破坏。

比如一个转账系统，用户在未关闭转装系统的同时去开启一个危险网站，网站自带获取cookie然后携带cookie向自己的账户进行转账。

解决方案：

服务端请求伪造，很多网站因为出于安全的考虑是通过放在公网的服务器去访问内网服务器，但如果没有增加安全措施，就会达到直接通过服务端实现访问公网服务器资源的功能。

原因：内网在接收请求的时候没有进行过滤和限制操作

解决方案：

SQL注入也是常见的网络攻击，比如在登录的时候输入用户名时用or 1 = 1这种恒等的条件进行拼接，若服务器没有进行预编译操作，那就直接拼接在登录的SQL上，从而绕过登录请求实现登录。

解决方案：