Web 基础技术详解

发送 HTTP 请求

TCP 连接建立后，浏览器构造 HTTP 请求报文，包含请求方法（如 GET/POST）、请求头（如 User-Agent、Accept）、请求体（如 POST 数据）。示例 GET 请求：

GET /index.html HTTP/1.1 Host: example.com User-Agent: Mozilla/5.0 

服务器处理请求

服务器接收请求后，根据路径和参数处理请求，可能涉及后端程序（如 PHP、Node.js）或静态文件直接返回。响应包括状态码（如 200 OK）、响应头（如 Content-Type）和响应体（如 HTML 内容）。

浏览器渲染

浏览器解析响应内容，逐步加载 HTML、CSS、JavaScript 及图片等资源：

• 构建 DOM 树：解析 HTML 生成文档对象模型。
• 构建 CSSOM：解析 CSS 生成样式规则树。
• 执行 JavaScript：可能阻塞渲染，需优化加载顺序。
• 生成渲染树：合并 DOM 与 CSSOM，计算布局。
• 绘制页面：根据渲染树进行像素级绘制。

连接终止

页面加载完成后，TCP 连接通过四次挥手释放：

1. 客户端发送 FIN 报文。
2. 服务器回应 ACK 报文。
3. 服务器发送 FIN 报文。
4. 客户端回应 ACK 报文，等待超时后关闭连接。

性能优化方向

• 减少 DNS 查询：使用 DNS 预解析或减少域名数量。
• 复用连接：启用 HTTP/2 或 Keep-Alive 避免重复握手。
• 压缩资源：Gzip 压缩文本文件，优化图片格式。
• 延迟加载：异步加载非关键资源（如 JavaScript）。

Web 服务器漏洞类型及防护措施

常见漏洞类型

• 注入漏洞：SQL 注入、OS 命令注入等攻击方式，通过未过滤的用户输入执行恶意代码。
• 跨站脚本（XSS）：攻击者注入客户端脚本，窃取用户会话或篡改网页内容。
• 配置错误：默认配置、未关闭的调试接口或暴露的敏感文件（如 .git 目录）。
• 拒绝服务（DoS/DDoS）：通过大量请求耗尽服务器资源导致服务瘫痪。
• 过时组件：未更新的 Web 服务器软件（如 Apache/Nginx 旧版本）或存在已知漏洞的依赖库。

检测与修复方法

• 使用自动化工具（如 Nessus、OpenVAS）扫描漏洞，定期进行渗透测试。
• 对用户输入实施严格过滤和验证，采用参数化查询防止 SQL 注入。
• 配置 Web 应用防火墙（WAF）拦截恶意流量，如 ModSecurity。
• 及时安装安全补丁，移除不必要的服务和默认账户。

安全加固实践

• 最小化权限原则：限制服务器进程和数据库账户的权限。
• 启用 HTTPS 并配置 HSTS，使用强加密算法（如 TLS 1.3）。
• 日志监控：记录访问日志和错误日志，设置异常行为告警。

代码示例（防护 SQL 注入）

# 使用参数化查询（Python 示例）
import sqlite3
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
user_input = "admin' OR 1=1--"
cursor.execute("SELECT * FROM users WHERE username=?", (user_input,))
# 安全

数学公式（DoS 攻击模型）

攻击流量阈值计算： $$ T_{{attack}} = \frac{{C_{{server}}}}{{R_{{request}}}} $$ 其中，(C_{{server}}) 为服务器承载能力，(R_{{request}}) 为单请求资源消耗。