Http协议基础
1.明文：
无内建的机密性安全机制
嗅探或代理阶段可查看全部明文信息
https只能提高传输层安全
攻击情景： 中间人攻击
黑客从获取通信链路中某个节点权限（假设叫T）——>Client向Server发送请求——>T接受到Client请求，并发送给Server——>Server发送真实CA（假设叫RCA）给T——>T收到RCA，并伪造CA（假设叫FCA）给Client——>Client讲数据按照FCA加密并传送给T——>T解密后按照RCA传送给Server——>Server回复
这样就实现了中间人攻击。
2.无状态
每一次客户端和服务器端的通信都是独立的过程
Web应用需要跟踪客户端回话（多步通信）
不使用cookie的应用，客户端每次请求都要重新身份验证（不现实）
Session用于在用户身份验证后跟踪用户行为轨迹
提高用户体验，增加了攻击向量
cookie中存放了session_id，而服务器记录了用户的session_id并存放到Session中。
cookie机制采用的是在客户端保持状态的方案，而session机制采用的是在服务器端保持状态的方案。
攻击情景：CSRF
