HTTP：是用于从万维网（WWW:World Wide Web ）服务器传输超文本到本地浏览器的传送协议。他是一种应用层协议，是基于 TCP/IP 通信协议来传递数据的。
但他不安全，以明文传递的方式，容易被他人盗取篡改信息。
HTTPS：HTTP协议+SSL/TLS协议，在HTTPS数据传输的过程中，需要用SSL/TLS对数据进行加密和解密，需要用HTTP对加密后的数据进行传输。HTTPS使用的是非对称加密，为秘钥的传输外层再做一层保护，非对称加密的一组秘钥对中，包含一个公钥和一个私钥。明文既可以用公钥加密，用私钥解密；也可以用私钥加密，用公钥解密。
TLS的四次握手：
第一次握手
客户端向服务端发送tls版本号，随机数，密码套件
第二次握手
服务端收到客户端发送的内容。回复客户端，发送tls版本号（确保是同一版本），随机数，以及从18套密码套件确定的一套密码套件。并发送一份认证证书
第三次握手
客户端验证完证书后，认为可信则继续往下走。接着，客户端就会取出证书的公钥生成一个新的随机数 (pre-master)，用服务器的 RSA 公钥加密该随机数，通过消息传给服务端。
服务端收到后，用 RSA 私钥解密，得到客户端发来的随机数 (pre-master)。
双方用各自最开始得到的两个随机数加pre-master生成会话密钥（Master Secret），它是对称密钥，用于对后续的 HTTP 请求/响应的数据加解密。
生成完会话密钥后，然后客户端发一个「Change Cipher Spec」，告诉服务端开始使用加密方式发送消息。
然后，客户端再发一个「Encrypted Handshake Message（Finishd）」消息，把之前所有发送的数据做个摘要，再用会话密钥（master secret）加密一下，让服务器做个验证，验证加密通信是否可用和之前握手信息是否有被中途篡改过。
第四次握手
服务器也是同样的操作，发「Change Cipher Spec」和「Encrypted Handshake Message」消息，如果双方都验证加密和解密没问题，那么握手正式完成。
最后，就用「会话密钥」加解密 HTTP 请求和响应了。
数字证书签发和验证流程
服务端通过哈希算法将证书算出哈希值，在用CA提供的私钥加密，客户端拿到签名后用CA的公钥解密得到数字证书的哈希值。
客户端将证书进行一次哈希运算，得到一个哈希值。
客户端将得到的两个哈希值进行比对，如果不同，会话建立终止。相同，取出公钥。
DNS （Domain Name System 的缩写）的作用就是根据域名查出IP地址。
常见的DNS记录类型如下。
（1）
A：地址记录（Address），返回域名指向的IP地址。（2）
NS：域名服务器记录（Name Server），返回保存下一级域名信息的服务器地址。该记录只能设置为域名，不能设置为IP地址。（3）
MX：邮件记录（Mail eXchange），返回接收电子邮件的服务器地址。（4）
CNAME：规范名称记录（Canonical Name），返回另一个域名，即当前查询的域名是另一个域名的跳转
第一步、
本地电脑会检查浏览器缓存中有没有这个域名对应的解析过的IP地址，如果缓存中有，这个解析过程就结束。
第二步、
如果浏览器缓存中没有数据，浏览器会查找操作系统缓存中是否有这个域名对应的DNS解析结果。
第三步、
前两个过程无法解析时，操作系统会把这个域名发送给这个本地DNS服务器。如果本地DNS服务器仍然没有命中，就直接到根DNS服务器请求解析。
第四步、
根DNS服务器返回给本地DNS域名服务器一个顶级DNS服务器地址，它是国际顶级域名服务器，如.com、.cn、.org等，全球只有13台左右。
第五步、
本地DNS服务器再向上一步获得的顶级DNS服务器发送解析请求。接受请求的顶级DNS服务器查找并返回顶级域名对应的域名，之后返给主机，主机向顶级域名询问所要查询的次级域名对应的Name Server域名服务器的地址。 次级域名DNS服务器返回查询记录给主机，Name Server服务器会查询存储的域名和IP的映射关系表，再把查询出来的域名和IP地址等等信息，连同一个TTL值返回给本地DNS服务器。
第六步、
返回该域名对应的IP和TTL值，本地DNS服务器会缓存这个域名和IP的对应关系，缓存时间由TTL值控制。把解析的结果返回给本地电脑，本地电脑根据TTL值缓存在本地系统缓存中
301 302 303 304 307 308
301 永久转移
302 临时
303
304
307 和 302 基本一致
308
| 永久重定向 | 临时重定向 | |
| 改变传参方式（post变为get） | 301 | 302 ，303 |
| 不改变传参方式 | 308 | 307 |
304 未修改。客户端请求的文档已在其缓存中，文档自缓存以来尚未被修改过。客户端使用文档的缓存副本，而不从服务器下载文档。
404 服务器找不到请求的网页。
405用来访问本页面的 HTTP 谓词不被允许（方法不被允许）
502 Web 服务器作为网关或代理服务器时，从上游服务器收到了无效响应。此类错误一般与服务器本身有关（与请求无关）
504网关超时。
<?php
header('X-XSS-Protection: 0');
$xss = isset($_GET['xss'])? $_GET['xss'] : '';
$xss = str_replace(array("(", ")", "&", "\\", "<", ">", "'"), '', $xss);
echo "<img src=\"{$xss}\">";
?>
因为已经过滤了其中的（），&，\\，<>，‘’。所以无法正常弹出alert，用aaa“打开一个双引号，在其后输入onerror。因为url会解析%28%29成（）。会被正则过滤掉，所以用location=“javascript：
”先将“”闭合，之后输入%25281%2529，会被js引用成字符串。之后在正常解析，弹出alert弹窗
