参考链接：https://www.cnblogs.com/an-wen/p/11180076.html

                   https://www.cnblogs.com/ranyonsue/p/5984001.html

1.Referer

1.1什么是Refere

该Referer会告诉服务器正在发送的这个数据包是从哪个页面链接过来的，服务器基此可以获得一些信息用于处理。

1.2    Referer作用是什么？—— 指明一个请求是从哪里链接过来 ，从而限制资源的访问

    1）防盗链

  比如办事通服务器只允许网站访问自己的静态资源，那服务器每次都需要判断Referer的值是否是zwfw.yn.gov.cn，如果是就继续访问，不是就拦截。

      可用来防cscrf，但是缺陷比较大，容易绕过，因为使用referer做访问限制时，多是限制在同一个域内，而访问攻击链接时多半是从同一个域跳转。

    2）防止恶意请求

    比如静态请求是.html结尾的，动态请求是.shtml，那么所有的*.shtml请求，必须 Referer为我自己的网站才可以访问，这就是Referer的作用。

1.3空Referer是怎么回事？

    空Referer是指Referer头部的内容为空，或者，一个HTTP 请求头中根本不包含Referer，那么什么时候HTTP请求会不包含Referer字段呢？

    根据Referer的定义，它的作用是指示一个请求是从哪里链接过来，那么当一个请求并不是由链接触发产生的，那么自然也就不需要指定这个请求的链接来源。

    比如，直接在浏览器的地址栏中输入一个资源的URL地址，那么这种请求是不会包含Referer字段的，因为这是一个“凭空产生”的HTTP请求，并不是从一个地方链接过去的。

在防盗链设置中，允许空Referer和不允许空Referer有什么区别？

    允许Referer为空，意味着你允许比如浏览器直接访问，就是空。

1.4 疑问：删除Referer后依然能访

解：该服务器不限制访问

2. URL

    HTTP使用统一资源标识符（Uniform Resource Identifiers, URI）来传输数据和建立连接。URL是一种特殊类型的URI，包含了用于查找某个资源的足够的信息

URL,全称是UniformResourceLocator, 中文叫统一资源定位符,是互联网上用来标识某一处资源的地址。以下面这个URL为例，介绍下普通URL的各部分组成：

http://www.aspxfans.com:8080/news/index.asp?boardID=5&ID=24618&page=1#name

从上面的URL可以看出，一个完整的URL包括以下几部分：

    1.协议部分：该URL的协议部分为“http：”，这代表网页使用的是HTTP协议。在Internet中可以使用多种协议，如HTTP，FTP等等本例中使用的是HTTP协议。在"HTTP"后面的“//”为分隔符

    2.域名部分：该URL的域名部分为“www.aspxfans.com”。一个URL中，也可以使用IP地址作为域名使用

    3.端口部分：跟在域名后面的是端口，域名和端口之间使用“:”作为分隔符。端口不是一个URL必须的部分，如果省略端口部分，将采用默认端口

    4.虚拟目录部分：从域名后的第一个“/”开始到最后一个“/”为止，是虚拟目录部分。虚拟目录也不是一个URL必须的部分。本例中的虚拟目录是“/news/”

    5.文件名部分：从域名后的最后一个“/”开始到“？”为止，是文件名部分，如果没有“?”,则是从域名后的最后一个“/”开始到“#”为止，是文件部分，如果没有“？”和“#”，那么从域名后的最后一个“/”开始到结束，都是文件名部分。本例中的文件名是“index.asp”。文件名部分也不是一个URL必须的部分，如果省略该部分，则使用默认的文件名

    6.锚部分：从“#”开始到最后，都是锚部分。本例中的锚部分是“name”。锚部分也不是一个URL必须的部分

    7.参数部分：从“？”开始到“#”为止之间的部分为参数部分，又称搜索部分、查询部分。本例中的参数部分为“boardID=5&ID=24618&page=1”。参数可以允许有多个参数，参数与参数之间用“&”作为分隔符。

以http://www.luffycity.com:80/news/index.html?id=250&page=1 为例, 其中：

http，是协议；

www.luffycity.com，是服务器；

80，是服务器上的默认网络端口号，默认不显示；

/news/index.html，是路径（URI：直接定位到对应的资源）；

?id=250&page=1，是查询。

大多数网页浏览器不要求用户输入网页中“http://”的部分，因为绝大多数网页内容是超文本传输协议文件。同样，“80”是超文本传输协议文件的常用端口号，因此一般也不必写明。一般来说用户只要键入统一资源定位符的一部分（www.luffycity.com:80/news/index.html?id=250&page=1）就可以了。

由于超文本传输协议允许服务器将浏览器重定向到另一个网页地址，因此许多服务器允许用户省略网页地址中的部分，比如 www。从技术上来说这样省略后的网页地址实际上是一个不同的网页地址，浏览器本身无法决定这个新地址是否通，服务器必须完成重定向的任务。

3.http 协议格式

   3.1请求头格式

                                                                                URL包含：/index/index2?a=1&b=2；路径和参数都在这里。

3.2响应头格式

4.cookie

4.1什么是cookie

cookie不能跨域访问

http是无状态链接的协议（无状态是指每次的请求都是单独的，上一次的请求不影响这次的，前后的请求没有联系），所以如果需要保持长时间的会话就需要cookie（例如，登录页面之后要保持登陆成功的状态，就在服务器生成一个cookie然后发送给客户端，客户端想要访问登录成功的页面就发送cookie+请求信息）

Cookie总是保存在客户端中，按在客户端中的存储位置，可分为内存Cookie和硬盘Cookie。内存Cookie由浏览器维护，保存在内存中，浏览器关闭后就消失了，其存在时间是短暂的。硬盘Cookie保存在硬盘里，有一个过期时间，除非用户手工清理或到了过期时间，硬盘Cookie不会被删除，其存在时间是长期的。所以，按存在时间，可分为非持久Cookie和持久Cookie。

HTTP请求+cookie的交互流程

如果步骤5携带的是过期的cookie或者是错误的cookie，那么将认证失败，返回至要求身份认证页面。

4.2cookie的属性

一般cookie所具有的属性，包括：

4.3cooke的作用

4.4cookie的创建

cookie是由服务端创造的，然后服务器发送cookie给客户端

从服务器端，发送cookie给客户端，是对应的Set-Cookie。包括了对应的cookie的名称，值，以及各个属性。

Set-Cookie: lu=Rg3vHJZnehYLjVg7qi3bZjzg; Expires=Tue, 15 Jan 2013 21:47:38 GMT; Path=/; Domain=.169it.com; HttpOnlySet-Cookie: made_write_conn=1295214458; Path=/; Domain=.169it.comSet-Cookie: reg_fb_gate=deleted; Expires=Thu, 01 Jan 1970 00:00:01 GMT; Path=/; Domain=.169it.com; HttpOnly

从客户端把cookie发送到服务器

从客户端发送cookie给服务器的时候，是不发送cookie的各个属性的，而只是发送对应的名称和值。

GET /spec.html HTTP/1.1 

Host: www.example.org 

Cookie: name=value; name2=value2 

Accept: */*

4.3Cookie的缺陷

（1）cookie会被附加在每个HTTP请求中，所以无形中增加了流量。

（2）由于在HTTP请求中的cookie是明文传递的，所以安全性成问题。（除非用HTTPS)

（3）Cookie的大小限制在4KB左右。对于复杂的存储需求来说是不够用的。

5.session

    session（会话信息）是存放在服务端（内存中），客户端只在请求的携带session_id发送给服务端，服务端接收到session_id后做匹配，从而读取会话信息,；

cookie是放在客户端（在硬盘或者浏览器内存中）

session_id可以通过多形式保存在客户端，对于浏览器客户端默认是保存在cookie当中，session_id存放的是一串字符串（身份证）

客户端发送请求的时候将session_id放在cookie中一起发送过去，服务端再根据session_id匹配对应的session

6.token

    把userid+随机字符串+当前时间进行md5加密后生成token，写入到缓存中，设置过期时间7200秒，如果过期了就在重新生成token

token算是cookie的升级版，token一般保存在session中，如php中，$_SESSION['token']=md5(time().rand(1,100000))

（1）客户端使用用户名跟密码请求登录

（2）服务端收到请求，去验证用户名与密码

（3）验证成功后，服务端会签发一个 token 并把这个 token 发送给客户端

（4）客户端收到 token 以后，会把它存储起来，比如放在 cookie 里或者 localStorage 里

（5）客户端每次向服务端请求资源的时候需要带着服务端签发的 token（每次的token值都不同）

（6）服务端收到请求，然后去验证客户端请求里面带着的 token ，如果验证成功，就向客户端返回请求的数据

    每一次请求都需要携带 token，需要把 token 放到 HTTP 的 Header 里

基于 token 的用户认证是一种服务端无状态的认证方式，服务端不用存放 token 数据。用解析 token 的计算时间换取 session 的存储空间，从而减轻服务器的存储压力，减少频繁的查询数据库，但会增加cpu的使用，token 完全由应用管理，所以它可以避开同源策略