Tomcat原理之HTTP协议：从寻址到会话管理的全链路解析

一、URL：互联网资源的坐标定位

URL（统一资源定位符） 是浏览器访问资源的唯一标识，其核心结构为：
协议://主机地址:端口号/路径?参数

• 协议：定义通信规则（如 HTTP/HTTPS）；
• 主机地址：标识目标服务器（如 localhost 或域名 www.example.com）；
• 端口号：指定服务入口（HTTP默认 80，HTTPS默认 443）；

• 路径：资源在服务器的位置（如 /api/data）。

二、寻址逻辑：IP、MAC与域名的协作

1. IP地址：网络层的逻辑寻址

• 功能：标识网络中的设备，由路由器动态分配（如 192.168.1.100）；

• localhost：本地环回地址（127.0.0.1），指向本机。

2. 域名：人类可读的地址别名

• 解析流程：通过 DNS 将域名（如 www.example.com）转换为IP地址。

3. MAC地址：物理设备的唯一标识

• 功能：数据链路层通过MAC地址（如 00:1A:2B:3C:4D:5E）在局域网内精确传输数据帧。
  

4. 消息传递：路由器的跳转逻辑

1. 浏览器发起请求 → 本地DNS解析域名 → 获取目标IP；
2. 数据包封装目标IP和MAC地址，通过路由器逐跳转发；
3. 每台路由器根据IP地址决定下一跳路径，最终抵达目标服务器。

三、HTTP协议：无状态通信与会话管理

1. 核心请求方法

（1）get 请求的特点

（2）post请求的特点

2. 无状态问题与会话技术

每次请求独立，服务器不保存客户端上下文（需依赖 Cookie/Session 维持状态）。

（1）Cookie：客户端的身份令牌

工作机制：

• 服务器通过 Set-Cookie 响应头下发令牌（如 JSESSIONID=abc123）；
• 浏览器后续请求自动携带 Cookie 头，实现身份识别

安全控制：

（2）Session：服务端的会话状态

实现原理：

1. 服务器为每个会话创建唯一Session ID，存储在内存、数据库或Redis中；
2. Session ID通过Cookie或URL重写与客户端关联；
3. 服务器通过ID读取会话数据（如用户登录状态）。

性能优化：

• 分布式Session：Redis集群共享会话数据；
• JWT令牌：无状态会话（Token包含签名和过期时间）。

四、HTTPS安全传输：非对称与对称加密的协同

1. 加密技术基础：对称与非对称加密

（1）对称加密

• 原理：
  加密与解密使用同一密钥（如 AES-256、DES），运算效率高，适合大数据量加密。
• 痛点：
  密钥需要通过安全通道传输，否则可能被中间人窃取。

（2）非对称加密

• 原理：
  使用公钥加密、私钥解密（如 RSA、ECC），公钥可公开分发，私钥严格保密。
• 核心作用：
  • 解决密钥分发安全问题；
  • 实现数字签名（私钥签名，公钥验证）。

2. 数字证书与CA权威机构

（1）数字证书的核心作用

• 身份认证：证明服务器公钥的合法性，防止中间人攻击；
• 数据完整性：证书包含数字签名，确保内容未被篡改。

（2）证书颁发机构（CA）的信任链

1. 证书申请：服务器向CA提交公钥、域名、企业信息；
2. CA验证：验证域名所有权及企业资质（如EV证书需工商信息核验）；
3. 证书签发：CA用自身私钥对服务器公钥等信息签名，生成数字证书；
4. 证书验证：浏览器内置根证书（如VeriSign、Let’s Encrypt）逐级验证证书链有效性。

（3）证书类型

3. SSL/TLS加密流程：双剑合璧

（1）握手阶段（非对称加密建立信任）

1. ClientHello：
   客户端发送支持的TLS版本、加密套件列表（如 TLS_AES_256_GCM_SHA384）及随机数。
2. ServerHello：
   服务器选择加密套件，返回数字证书、随机数。
3. 证书验证：
   • 浏览器检查证书链有效性（根证书 → 中间证书 → 服务器证书）；
   • 校验证书域名匹配性、有效期、吊销状态（通过OCSP/CRL）。
4. 密钥协商：
   • 客户端生成 预主密钥（Pre-Master Secret），用服务器公钥加密后发送；
   • 服务器用私钥解密获得预主密钥；
   • 双方基于随机数和预主密钥生成对称会话密钥。

（2）传输阶段（对称加密高效通信）

• 使用协商的对称密钥（如AES-256）加密HTTP报文，MAC校验数据完整性；
• 对称加密效率比非对称加密高1000倍以上，适合持续数据传输。

4. 技术协作逻辑

1. 非对称加密的不可替代性：
   • 解决密钥分发难题（对称密钥通过非加密通道安全传输）；
   • 实现数字证书签名体系（CA私钥签名 → 浏览器公钥验证）。
2. 对称加密的性能优势：
   • 加密HTTP头部、Cookie等高频小数据；
   • 支持GCM等模式实现加密+完整性校验一体化。

5. 密钥交换算法演进

五、Tomcat的请求处理逻辑

1. 连接器（Connector）

• 监听端口（如8080），接收HTTP(S)请求；
• 解析请求行（方法、URL、协议版本）、头部（Cookie、Content-Type）、Body。

2. 容器（Container）

• 路由匹配：根据URL路径映射到对应Servlet；
• 会话管理：通过 JSESSIONID 关联HttpSession对象；
• 过滤器链：执行身份验证（如Filter）、日志记录等预处理。

3. 响应生成

• 设置状态码（200 OK）、响应头（Set-Cookie）、Body内容；
• 按HTTP协议格式返回数据。

六、全链路技术闭环

1. 用户输入URL → DNS解析为IP地址；
2. TCP三次握手 → 建立可靠传输通道；
3. SSL/TLS握手 → CA证书验证 + 密钥协商；
4. HTTP请求 → Tomcat解析并路由至Servlet；
5. 会话管理 → Cookie/Session维持用户状态；
6. 业务逻辑处理 → 数据库交互 + 响应生成；
7. 对称加密响应 → 返回浏览器渲染页面。

七、安全与性能优化实践

1. HTTPS强制升级：通过HSTS响应头（Strict-Transport-Security）；
2. Session安全：定期更换Session ID，绑定客户端IP；
3. 证书管理：使用ACME协议自动续期（如Let’s Encrypt）；
4. 连接复用：HTTP/2多路复用 + TLS会话恢复（Session Ticket）。

总结

理解从URL解析到HTTPS加密、从无状态协议到会话管理的完整链路，是构建高性能、高安全Web系统的基石。Tomcat作为核心容器，通过连接器、容器多层架构，实现了协议处理与业务逻辑的解耦，为分布式架构打下坚实基础。