1 关于http和https

（1）http和https的基本概念

http：超文本传输协议，是互联网上最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输时间减少。

https：是以安全为目标的HTTP通道，简单讲是HTTP的高级版，即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。

https的主要作用是：建立一个信息安全通道，来确保数组的传输，确保网站的真实性。

（2）http和https的区别

http传输的数据是未加密的，也就是明文的，网景公司设置了SSL协议来对http协议传输的数据进行加密处理，简单来说https协议是由http和ssl协议构建的可进行加密传输和身份认证的网络协议，比http协议的安全性更高。

主要的区别如下：

https协议需要ca证书，费用较高
http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议
使用不同的连接方式，端口也不同，一般而言，http协议的端口为80，https的端口为443
http的连接很简单，是无状态的，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全

（3）https协议的工作原理

客户端使用HTTPS方式与Web服务器通信时有以下几个步骤，如图所示

①客户使用https url访问服务器，则要求web服务器建立ssl连接

②web服务器接收到客户端的请求后，会将网站的证书（证书中包含了公钥），返回或者说传输给客户端

③客户端和web服务器端开始协商SSL连接的安全等级，也就是加密等级

④客户端浏览器通过双方协商一致的安全等级，建立会话密钥，然后通过网站的公钥来加密会话密钥，并传送给网站

⑤web服务器通过自己的私钥解密出会话密钥

⑥web服务器通过会话密钥加密与客户端之间的通信

（4）https协议的优点

使用https协议可以认证用户和服务器，确保数据发送到正确的客户机和服务器
HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全，可防止数据在传输过程中不被窃取、改变，确保数据的完整性
HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人的攻击成本

（5）https协议的缺点

https握手阶段比较费时，会使页面加载时间延长50%，增加10%~20%的耗电
https缓存不如http高效，会增加数据开销
SSL证书也需要钱，功能越强大的证书费用越高
SSL证书需要绑定IP，不能在同一个ip上绑定多个域名，ipv4资源支持不了这种消耗

2 关于三次握手

一句话概括：

客户端和服务端都需要直到各自可收发，因此需要三次握手

简化三次握手从图片可以得到三次握手可以简化为，C发送请求连接S确认，也发起连接C确认。

我们再看看每次握手的作用：

第一次握手：S只可以确认自己接收C发送的报文段。

第二次握手：C可以确认S收到了自己发送的报文段，并且可以确认自己接收S发送的报文段。

第三次握手：S可以确认C收到了自己发送的报文段

3 TCP和UDP的区别

（1）TCP是面向连接的，UDP是无连接的，即发送数据前不需要先建立连接

（2）TCP提供可靠的服务，也就是说，通过TCP连接传送的数据，无差错、不丢失、不重复，且按序到达； UDP尽最大努力交付，即不保证可靠交付。并且因为TCP可靠，面向连接，不会丢失数据，因此适合大数据量的交换

（3）TCP是面向字节流的，UDP面向报文，并且网络出现拥塞不会使发送速率降低，因此会出现丢包

（4）TCP只能1对1，UDP支持1对1，1对多

（5）TCP首部为20个字节，最大可达60个字节，而UDP只有8字节

（6）TCP是面向连接的可靠性传输，而UDP是不可靠的

4 WebSocket的实现和应用

（1）什么是WebSocket？

WebSocket是一种网络通信协议，是HTML5新增的特性，实现了基于浏览器的远程socket，使浏览器和服务器可以进行全双工通信，大部分浏览器都对此做了支持。WebSocket的URL格式形如：ws://localhost:80/、wss://localhost:443/

(2)为什么有了HTTP协议还要WebSocket？

HTTP协议采用的是客户端（浏览器）轮询的方式，即客户端发送请求、服务器做出响应。为了获取最新的数据，需要不断的轮询发出HTTP请求，占用大量带宽。

WebSocket采用了一些特殊的报头，使得浏览器和服务器只需要通过“握手”建立一条连接通道，此链接保持活跃状态，之后客户端和服务器都使用这个连接，解决了Web实时性问题，相比于HTTP有以下好处：

一个Web客户端只建立一个TCP连接
WebSocket服务端可以主动推送（push）数据到Web客户端
有更加轻量的头，减少了数据传输量

（3）WebSocket原理

5 HTTP请求的方式

（1）概述

HTTP有8种请求方式，分别是HEAD、GET、POST、PUT、DELETE、OPTIONS、CONNECT、TRACE

（2）HEAD请求

在HTTP协议中，HEAD请求只索要响应头，而响应体并不会返回

在优先的速度和带宽下其常用于

检查资源的有效性
检查超链接的有效性
检查网站是否被篡改
获取RSS种子信息，传递安全认证信息等

（3）GET请求

GET请求可以向特定的资源发出请求，请求的数据存储在URL后面，以key=value，即参数名=参数值的形式进行传递，GET请求中用“？”来分割URL实体和传递的参数，参数之间用“&”进行分割。传递的数据如果是英文字母或者数据，则保持原样发送。如果是空格，需要转换成“+”。如果是类似中文的字符，需要将传递的数据用base64进行加密，转换成16进制输出。GET请求的数据大小具有限制，不同的浏览器不同，而且传输数据不是很安全。

（4）POST请求

用于提交数据，当采用 POST方式向指定位置提交数据时，数据被包含在请求体中，服务器接收到这些数据后可能会建立新的资源、也可能会更新已有的资源。

同时 POST 方式的请求体可以包含非常多的数据，而且格式不限。因此 POST 方式用途较为广泛，几乎所有的提交操作都可以使用 POST 方式来完成。

虽然用 GET 方式也可以提交数据，但一般不用 GET 方式而是用 POST 方式。在 HTTP协议中，建议 GET 方式只用来获取数据，而 POST 方式则用来提交数据(而不是获取数据)。

（5）PUT请求

从客户端向服务器发送请求，使传送的数据可以指定文档的内容。

与POST请求的区别是，POST多次数据提交得到的最后结果不一样。PUT多次提交，结果是一样的。因此POST常用于数据的新增，PUT常用于数据的修改

（6）DELETE请求

这个请求可以让服务器删除指定的页面，这部分资源用Request-URL标识

（7）OPTIONS请求

为了保证安全，不能让所有的域名都可以访问后端。options常用于这类跨域请求。在正式跨域之前，服务器根据需要进行一次检验，然后决定服务器可以返回的方法，一旦服务器通过了这种检验，以后就可以正常请求，即cookie认证的原理。

（8）CONNECT请求

该请求方式是一种点到点的传输方式，能够用于将连接改成管道方式的代理服务器。

（9）TRACE请求

该请求用于检测与诊断服务器

6 一个图片url访问后直接下载怎么实现？

请求的返回头里面，用于浏览器解析的重要参数就是OSS的API文档里面的返回http头，决定用户下载行为的参数

下载的情况下：

1. x-oss-object-type:Normal
2. x-oss-request-id:598D5ED34F29D01FE2925F41
3. x-oss-storage-class:Standard

7 关于web Quality（无障碍）

能够被残障人士使用的网站才能称得上一个易用的网站。

使用alt属性：

<img src="person.jpg" alt="this is a person"/>

有时候浏览器会无法显示图像，具体的原因有：

用户关闭了图像显示
浏览器是不支持图形显示的迷你浏览器
浏览器是语音浏览器（供盲人和弱视人群使用）

如果使用了alt属性，那么浏览器至少可以显示或读出有关图像的描述

8 几个实用的BOM属性对象方法

什么是BOM？

浏览器对象模型, 提供了独立于内容而与浏览器窗口进行交互的对象，用于访问浏览器的功能。

有那些常用的BOM属性呢？

（1）location对象

location.href---返回或设置当前文档的URL

location.search---返回URL中的查询字符串部分.例如www.dreamdu.com/dreamdu.php… 返回包括？后面的内容 ?id=5&name=dreamdu

location.hash---返回URL#后面的内容，如果没有#，返回空

location.host---返回URL中的域名部分 www.dreamdu.com

location.hostname---返回URL中的主域名部分 dreamdu.com

location.pathname---返回URL域名后的部分。例如www.dreamdu.com:8080/xhtml/ 返回/xhtml/

location.port---返回URL中的端口部分。例如 www.dreamdu.com:8080/xhtml/ 返回8080

location.protocol---返回URL中的协议部分，例如 www.dreamdu.com:8080/xhtml/ 返回(//)前面的内容 http:

location.assign---设置当前文档的URL

location.replace()---设置当前文档的URL，并且在history对象的地址列表中移除这个URL。location.replace(url)

location.reload()---重载当前页面

（2）history对象

history.go()---前进或后退指定的页面数。history.go(num)

history.back()---后退一页

history.forward()---前进一页

(3) Navigator对象

navigator.userAgent---返回用户代理头的字符串表示（就是包括浏览器版本信息等的字符串）

navigator.cookieEnabled---返回浏览器是否支持cookie

9 说一下HTTP2.0

首先补充一下，http和https的区别，相比于http，https是基于ssl加密的http协议

简要概括：http2.0是基于1999年发布的http1.0之后的首次更新

提升访问速度：对于请求资源所需时间更少，访问速度更快，相比http1.0
允许多路复用：多路复用允许同时通过单一的HTTP/2连接发送多重请求-响应信息，改善了：在http1.1中，浏览器客户端在同一时间，针对同一域名下的请求有一定的数量限制（连接数量），超过限制会被阻塞。
二进制分帧：HTTP2.0会将所有的传输信息分割为更少的信息或者帧，并对他们进行二进制编码
首部压缩
服务器端推送

10 补充400和401、403状态码

（1）400状态码：

请求无效

产生原因：

前端提交数据的字段名称和字段类型与后台的实体没有保持一致
前端提交到后台的数据应该是json字符串类型，但是前端没有将对象JSON.stringify转化成字符串

解决方法：

对照字段的名称，保持一致性
将obj对象通过JSON.stringify实现序列化

（2）401状态码：

当前请求需要用户验证

（3）403状态码：

服务器已经得到请求，但是拒绝执行

11 fetch发送2次请求的原因

fetch发送post请求的时候，总是发送2次，第一次状态码是204，第二次才成功。

原因很简单，因为你用fetch的post请求的时候，导致fetch第一次发送了一个options请求，询问服务器是否支持修改的请求头，如果服务器支持，则在第二次中发送真正的请求。

12 Cookie、sessionStorage、localStorage的区别

共同点

都是保存在浏览器端，并且是同源的

Cookie

Cookie数据始终在同源的http请求中携带（即使不需要），即cookie在浏览器和服务器来回传递，而sessionStorage和localStorage不会自动把数据发给服务器，仅在本地保存。cookie数据还有路径的概念，可以限制cookie只属于某个路径下，存储的大小很小，只有4k左右。

总结：可以在浏览器和服务器端来回传递，存储容量小，只有大约4k左右

sessionStorage

仅在当前浏览器窗口关闭前有效，自然也就不可能持久保持。localStorage：始终有效，窗口和浏览器关闭也一直保存，因此用作持久数据；cookie只在设置的cookie过期时间之前一直有效，即使窗口和浏览器关闭。

总结：本身就是一次回话过程，关闭浏览器后消失。session为一个回话，当页面不同，即使同一界面打开两次，也被视为同一次回话

localStorage

localStorage在所有同源窗口中都是共享的；cookie也是在所有同源窗口中都是共享的。

总结：同源窗口都会共享，并且不会失效，不管窗口或者浏览器关闭都会始终生效

cookie的作用

保持用户登录状态。例如将用户id存储于一个cookie内，这样当用户下次访问该页面时就不需要重新登录了，现在很多论坛和社区都提供这样的功能。cookie还可以设置过期时间，当超过时间期限后，cookie就会自动消失。因此，系统往往可以提示用户保持登录状态的时间，常见选项有一个月、三个月、一年等。
跟踪用户行为。例如一个天气预报网站，能够根据用户选择的地区显示当地的天气情况，如果每次都需要选择地区是繁琐的，当利用了cookie后就会显得很人性化了，系统能够记住上一次访问的地区，当下次再打开该网页时，它就会自动显示上次用户所在地区的天气情况。因为一切都是在后台完成，所以这样的页面就像为某个用户所定制的一样，使用起来非常方便。
定制页面。如果网站提供了换肤或更换布局的功能，那么可以使用cookie来记录用户的选项，例如：背景色、分辨率等。当用户下次访问时，仍然可以保存上一次访问的界面风格

13 说一下web worker

在HTML页面中，在执行脚本时，页面的状态是不可响应的，直到脚本执行完成后，页面才变成可响应。web worker是运行在后台的js，独立于其他脚本，不会影响页面的性能。并且通过postMessage将结果回传到主线程，这样在进行复杂操作的时候，就不会阻塞主线程了。

如何创建web worker？

检测浏览器对于web worker的支持性
创建web worker文件（js、回传函数等）
创建web worker对象

14 Doctype的作用？严格模式和混杂模式如何区分？它们有何意义？

Doctype声明于文档最前面，告诉浏览器以何种方式来渲染页面，这里有两种模式，严格模式和混杂模式。

严格模式的排版和JS运作模式是以浏览器支持的最高标准运行。

混杂模式，向后兼容，模拟老式浏览器，防止浏览器无法兼容页面

15 Cookie如何防范XSS攻击？

XSS（跨站攻击脚本）是指攻击者在返回的HTML中嵌入JavaScript脚本，为了减轻这些攻击，需要在HTTP头部配上，set-cookie：

httponly：这个属性可以防止XSS，它会禁止JavaScript脚本来访问cookie

secure：这个属性告诉浏览器仅在请求为https的时候发送cookie

16 Cookie和session的区别

cookie数据存放在用户的浏览器上，session数据放在服务器上。
cookie不是很安全，别人可以分析在本地的Cookie并进行cookie欺骗，如果主要考虑安全应当使用session。
session会在一定时间内保存在服务器上，当访问增多，会比较占用服务器的性能。如果主要考虑减轻服务器性能方面，应当使用Cookie。
单个cookie在客户端的限制是4K，就是说一个站点在客户端存放的Cookie不能超过4K。很多浏览器都限制一个站点最多保存20个cookie。
所以：将登陆信息等重要信息存放为session，其他信息如果要保留，可以放在cookie中。

17 click在ios上有300ms延迟，原因及如何解决？

产生原因：当用户点击一次屏幕后，浏览器并不能立刻判断用户是要进行双击缩放，还是想要进行单击操作。因此，IOS Safari就等待300毫秒，以判断用户是否再次点击了屏幕。于是，300毫秒延迟就这么诞生了。
解决方法：（1）粗暴型：禁用缩放

<meta name="viewport" content="width=device-width",user-scalable=no">

(2)利用FastClick，其原理是：检测到touchend事件后，立刻触发模拟click事件，并把浏览器在300毫秒之后真正触发的click事件阻止掉

18 addEventListener参数

addEventListener（）方法用于向指定元素添加监听事件。

document.getElementById(元素id).addEventListener("click",function(){
    console.log("目标元素被点击了");
  )};

有三个参数， addEventListener(event,function,useCapture)

event：指定事件名，事件名称不用带“on”前缀，点击事件直接写“click”，键盘放开事件写：“keyup”，必填。
function：指定要事件触发时执行的函数
useCapture：指定事件是否在捕获或冒泡阶段执行

19 介绍知道的http返回的状态码

标题	意义	说明
100	Continue	继续。客户端应继续其请求
101	Switching Protocols	切换协议，服务器根据客户端的请求切换协议，只能切换到更高级的协议
200	OK	请求成功。一般用于GET与POST请求
201	Create	已创建，成功请求并创建了新的资源
202	Accepted	已接受，已经接受请求，但未处理完成
203	Non-Authoritative Information	非授权信息，请求成功。但返回的meta信息不在原始服务器，而是一个副本
204	No Content	无内容、服务器成功处理，但未返回内容，在未更新网页的情况下，可确保浏览器继续显示当前文档
205	Reset Content	重置内容、服务器处理成功，用户终端（例如：浏览器）应重置文档视图，可通过此返回码清除浏览器的表单域
206	Partial Content	部分内容。服务器成功处理了部分GET请求
300	Multiple Choice	该请求有多种可能的响应，用户代理或者用户必须选择它们其中的一个。服务器没有任何标准可以遵循去代替用户来进行选择
301	Moved Permanently	永久移动。请求的资源已被永久的移动到新URI，返回信息会包括新的URI，浏览器会自动定向到新URI，今后任何新的请求都应使用新的URI代替
302	Found	临时移动。与301类似，但资源只是暂时被移动，客户端应继续使用原有URI
303	See Other	查看其他地址。与301类似，使用GET和POST请求查看
304	Not Modified	未修改。所求的资源未修改，服务器返回此状态码时，不会返回任何资源。客户端通常会缓存访问过的资源，通过提供一个头信息指出客户端希望只返回在指定日期之后修改的资源
305	Use Proxy	使用代理。所请求的资源必须通过代理访问
306	Unused	已经被废弃的HTTP状态码
307	Temporary Redirect	临时重定向，与302类似，使用GET请求重定向
400	Bad Request	客户端请求的语法错误，服务器无法理解
401	Unauthorized	请求要求用户的身份认证
402	Payment Required	保留，将来使用
403	Forbidden	服务器理解请求客户端的请求，但是拒绝执行此请求
404	Not Found	服务器无法根据客户端的请求找到资源，通过此代码，网站设计人员可以设置"您所请求的资源无法找到"的个性页面
405	Method Not Allowed	客户端请求中的方法被禁止
406	Not Acceptable	服务器无法根据客户端请求的内容特性完成请求
407	Proxy Authentication Required	请求要求代理的身份认证，与 401 类似，但请求者应当使用代理进行授权
408	Request Time-out	服务器等待客户端发送的请求时间过长，超时
409	Conflict	服务器完成客户端的 PUT 请求是可能返回此代码，服务器处理请求时发生了冲突
410	Gone	客户端请求的资源已经不存在。410 不同于 404，如果资源以前有现在被永久删除了可使用 410 代码，网站设计人员可通过 301 代码指定资源的新位置
411	Length Required	服务器无法处理客户端发送的不带 Content-Length 的请求信息
412	Precondition Failed	客户端请求信息的先决条件错误
413	Request Entity Too Large	由于请求的实体过大，服务器无法处理，因此拒绝请求。为防止客户端的连续请求，服务器可能会关闭连接。如果只是服务器暂时无法处理，则会包含一个 Retry-After 的响应信息
414	Request-URI Too Large	请求的 URI 过长（URI 通常为网址），服务器无法处理
415	Unsupported Media Type	服务器无法处理请求附带的媒体格式
416	Requested range not satisfiable	客户端请求的范围无效
417	Expectation Failed	服务器无法满足 Expect 的请求头信息
500	Internal Server Error	服务器内部错误，无法完成请求
501	Not Implemented	服务器不支持请求的功能，无法完成请求
502	Bad Gateway	作为网关或者代理工作的服务器尝试执行请求时，从远程服务器接收到了一个无效的响应
503	Service Unavailable	e 由于超载或系统维护，服务器暂时的无法处理客户端的请求。延时的长度可包含在服务器的 Retry-After 头信息中
504	Gateway Time-out	充当网关或代理的服务器，未及时从远端服务器获取请求
505	HTTP Version not supported	服务器不支持请求的 HTTP 协议的版本，无法完成处理

前端刷题记录（HTTP篇）