明文传输，其次HTTP 协议也不支持“完整性校验”，数据在传输过程中容易被窜改而无法验证真伪。为了解决 HTTP 不安全的缺点，所以就出现了 HTTPS

性能

　　http 是请求-应答模式，发起的请求类似一个队列，先进先出，会存在对头阻塞问题

 无状态

　　这个无状态主要看应用场景，对于不需要上下文状态的，这个就是优点，对于需要记录状态的，这个就是缺点，当然这个可以通过其他方式来做，比如 cookie,token 等

前两部分起始行和头部字段经常又合称为“请求头”或“响应头”，消息正文又称为“实体”，但与“header”对应，很多时候就直接称为“body”。

HTTP 协议规定报文必须有 header，但可以没有 body，而且在 header 之后必须要有一个“空行”（区分body 与 head 分割），也就是CRLF。

　　HTTP 头字段非常灵活，不仅可以使用标准里的 Host、Connection 等已有头，也可以任意添加自定义头，这就给 HTTP 协议带来了非常好的灵活、扩展性。

状态行

　　这里它不叫“响应行”，而是叫“状态行”（status line），意思是服务器响应的状态。

 

 头部字段

　　请求行或状态行再加上头部字段集合就构成了 HTTP 报文里完整的请求头或响应头 如图：

　　301 和 302 都会在响应头里使用字段 Location 指明后续要跳转的 URI，最终的效果很相似，浏览器都会重定向到新的 URI。两者的根本区别在于语义，一个是“永久”，一个是“临时”。

比如，你的网站升级到了 HTTPS，原来的 HTTP 不打算用了，这就是“永久”的，所以要配置 301 跳转，把所有的 HTTP 流量都切换到 HTTPS。

• 400 bad request，通用的错误码，请求报文存在语法错误。
• 403 forbidden，表示对请求资源的访问被服务器拒绝，服务器经常访问资源。
• 404 not found，表示在服务器上没有找到请求的资源。
• 405 Method Not Allowed，服务器禁止使用该方法，客户端可以通过options方法来查看服务器允许的访问方法

　　由于长连接对性能的改善效果非常显著，所以在 HTTP/1.1 中的连接都会默认启用长连接。不需要用什么特殊的头字段指定，只要向服务器发送了第一次请求，后续的请求都会重复利用第一次打开的 TCP 连接，也就是长连接，在这个连接上收发数据。

　　也可以在请求头里明确地要求使用长连接机制，使用的字段是 Connection，值是“keep-alive”，如图：

　　因为 TCP 连接长时间不关闭，服务器必须在内存里保存它的状态，这就占用了服务器的资源。如果有大量的空闲长连接只连不发，就会很快耗尽服务器的资源，导致服务器无法为真正有需要的用户提供服务。

所以，长连接也需要在恰当的时间关闭，不能永远保持与服务器的连接，这在客户端或者服务器都可以做到。

　　在客户端，可以在请求头里加上“Connection: close”字段，告诉服务器：“这次通信后就关闭连接”。服务器看到这个字段，就知道客户端要主动关闭连接，于是在响应报文里也加上这个字段，发送之后就调用 Socket API 关闭 TCP 连接。

　　服务器端通常不会主动关闭连接，但也可以使用一些策略。拿 Nginx 来举例，它有两种方式：

1. 使用keepalive_timeout指令，设置长连接的超时时间，如果在一段时间内连接上没有任何数据收发就主动断开连接，避免空闲连接占用系统资源。
2. 使用keepalive_requests指令，设置长连接上可发送的最大请求次数。比如设置成 1000，那么当 Nginx 在这个连接上处理了 1000 个请求后，也会主动断开连接。

　　http 的缓存是通过Cache-Control 字段来控制

1. max-age：是 HTTP 缓存控制最常用的属性，max-age=30”就是资源的有效时间，相当于告诉浏览器，“这个页面只能缓存 30 秒，之后就算是过期，不能用，这也就是经常说的强缓存。
2. no-store：不允许缓存，用于某些变化非常频繁的数据，例如秒杀页面；

3. no-cache：它的字面含义容易与 no-store 搞混，实际的意思并不是不允许缓存，而是可以缓存，但在使用之前必须要去服务器验证是否过期，是否有最新的版本，这也就是经常说的协商缓存；
4. must-revalidate：又是一个和 no-cache 相似的词，它的意思是如果缓存不过期就可以继续使用，但过期了如果还想用就必须去服务器验证。