
# 断点续传

## 断点下载

客户端可以先发送 HEAD 请求，通过响应头中的 `Accept-Ranges: bytes` 和 `Content-Length` 判断服务器是否支持按字节范围下载。支持时，客户端使用 `Range` 请求头分段请求，例如先请求 `bytes=0-512`，再请求 `bytes=513-1024`，分别保存临时文件后组装成完整文件。

原笔记指出，浏览器页面无法直接完成这类桌面应用式的本地文件拼装。

## 断点上传

用户选择文件后，前端把文件切分为多个分片，计算完整文件及各分片的 MD5。原笔记到此为止，没有记录服务端校验、合并或重试流程，因此本整理不补充这些步骤。


记录基于 Range 的分段下载，以及前端文件分片上传的基本思路。

断点续传：下载与上传


# 网络安全

## CSRF

CSRF（Cross-Site Request Forgery，跨站请求伪造）利用用户已有的身份信息伪造请求。原笔记列出的防护方式包括减少依赖 Cookie 身份、使用 JWT，以及设置 Cookie 的 `SameSite` 属性。

## XSS

XSS（Cross-Site Scripting，跨站脚本攻击）利用网站漏洞向服务提交脚本，使脚本在其他用户访问页面时执行。原笔记列出的防护方式包括过滤危险标签和属性，以及对危险内容进行 HTML 编码。

## 中间人攻击

原笔记在 SSL、TLS 与 HTTPS 的关系下列出了“中间人攻击”，但没有进一步记录攻击过程或防御细节，因此本整理不作扩写。


介绍 CSRF、XSS 和中间人攻击等常见 Web 安全问题及笔记中的防护思路。

Web 网络安全基础


# 浏览器网络

## 网络模型

五层网络模型包括：

1. 应用层：面向网页、邮件、文件等场景，常见协议有 HTTP、FTP、SMTP、DNS、POP3。
2. 传输层：通过 TCP 或 UDP 选择可靠连接或无连接传输方式。
3. 网络层：通过 IP 和路由解决目标定位与路径选择。
4. 数据链路层：使用 MAC 地址和交换机在子网中传输数据。
5. 物理层：通过双绞线、光纤等介质在二进制数据和物理信号之间转换。

四层模型将数据链路层和物理层合并为物理链路层。七层模型依次为应用层、表示层、会话层、传输层、网络层、数据链路层和物理层。

## Cookie

Cookie 由键、值、Domain、Path、Secure 和过期时间等信息组成。服务器可以通过 `Set-Cookie` 响应头下发，浏览器端 JavaScript 也可以添加。没有设置 `Expires` 或 `Max-Age` 时，Cookie 通常在会话结束后过期。

发送请求时，浏览器会检查 Cookie 是否过期，并核对 Domain、Path 和 Secure 条件。符合条件的键值对会拼接到请求头的 `Cookie` 字段中。

## 同源策略与 CORS

同源要求协议、主机和端口相同。浏览器对 CSS、JavaScript 等资源加载相对宽松，对 AJAX 跨源访问限制更严格。原笔记列出的解决方式有代理、JSONP 和 CORS。

CORS 的简单请求通常使用 GET、POST 或 HEAD，并只包含安全请求头。浏览器会自动添加 `Origin`，服务器通过 `Access-Control-Allow-Origin` 表明是否允许。

不满足简单请求条件时，浏览器先发送 OPTIONS 预检，请求头包含 `Origin`、`Access-Control-Request-Method` 和 `Access-Control-Request-Headers`。服务器用对应的 `Access-Control-Allow-*` 响应头确认允许的方法和请求头，并可通过 `Access-Control-Max-Age` 缓存预检结果；通过后才发送真实请求。

## 输入 URL 后的过程

1. 浏览器补全协议和端口，并对 URL 进行编码。
2. 浏览器检查本地缓存，判断强缓存或协商缓存是否可用。
3. 通过 DNS 解析服务器 IP。
4. 建立 TCP 连接；HTTPS 还需要 SSL/TLS 握手。
5. 浏览器判断应携带的 Cookie，补全请求头并发送请求。
6. 服务器处理请求并返回 HTTP 响应。
7. 浏览器根据协议版本和 `Connection` 判断是否保留 TCP 连接，不保留时进行四次挥手。
8. 浏览器根据状态码、`Content-Type` 和其他响应头处理响应，并更新缓存或 Cookie。
9. 对 HTML 从上到下解析，遇到外部 JavaScript、CSS 等资源时继续请求。
10. 构建 DOM 树和 CSSOM 树，合成渲染树，计算布局并交给 GPU 绘制。
11. DOM 构建完成后触发 `DOMContentLoaded`，全部资源加载完成后触发 `load`。

原笔记将 URL 编码写成“转为 Base64”，该表述与前后内容不一致，因此整理时只保留为 URL 编码，没有延伸结论。

## DNS 解析

原笔记记录的查询顺序是：浏览器缓存、系统缓存、Hosts 文件、本地 DNS 服务器；未命中时继续向根域名服务器、顶级域名服务器和权威域名服务器查询。


整理网络分层、Cookie、同源策略、CORS、URL 请求流程和 DNS 等知识。

浏览器网络基础


# HTTP 基础

## GET 与 POST

GET 通常用于读取资源，具有幂等语义；POST 通常用于提交数据并产生写操作。GET 参数一般放在 URL 中，POST 数据一般放在请求体中。浏览器和服务器会限制 URL 长度，而这一限制不是 HTTP 协议本身规定的。

GET 参数直接出现在 URL 中，不适合传递敏感信息；POST 也不等于安全，真正的传输安全仍依赖 HTTPS。GET 响应更容易被缓存、保存为书签，使用 POST 打开的页面在刷新时通常会提示重新提交。

## 常见请求方法

- `GET`：获取资源，业务数据通常放在请求行。
- `POST`：提交资源，业务数据通常放在请求体。
- `PUT`：修改服务器数据，业务数据通常放在请求体。
- `DELETE`：删除服务器数据。
- `OPTIONS`：可用于跨域预检。
- `TRACE`：用于测试和诊断。

原笔记列出了 `CONNECT`，但没有记录其具体含义，本整理不作扩写。

## HTTP 缓存

强缓存命中后，浏览器直接使用本地缓存，不向服务器发送请求。HTTP/1.1 常用 `Cache-Control: max-age`；HTTP/1.0 常用 `Expires`，它依赖本地时间，修改系统时间可能影响判断。

协商缓存会向服务器确认资源是否变化。HTTP/1.1 常通过 `ETag` 和 `If-None-Match`；HTTP/1.0 常通过 `Last-Modified` 和 `If-Modified-Since`。资源未变化时服务器可返回 `304`，变化时返回新内容。时间方式还存在一秒内多次修改难以区分的问题。

## HTTP/1 与 HTTP/2

原笔记记录的 HTTP/2 变化包括：使用二进制分帧、多路复用、头部压缩和服务器推送。HTTP/1 中浏览器通常通过多个 TCP 连接并行请求；HTTP/2 可在一个 TCP 连接上并行传输多个流，减少连接开销，并通过头部压缩降低重复头信息的体积。

## HTTP 与 HTTPS

HTTP 以明文传输，HTTPS 在 HTTP 与 TCP 之间增加 SSL/TLS 加密。SSL 是 Secure Sockets Layer，TLS 是 Transport Layer Security，TLS 是 SSL 的升级版本；HTTPS 是建立在 SSL/TLS 安全通道上的 HTTP。

原笔记记录：HTTPS 可以通过证书验证服务器身份，并使用加密信道传输数据；在 SSL/TLS 握手期间还会协商是否使用 HTTP/2。

## TCP 三次握手与四次挥手

三次握手用于建立可靠的 TCP 连接：客户端发起连接，服务器确认并回应，客户端再次确认。四次挥手用于双方分别关闭发送方向，因此通常需要四次报文交互。

## 浏览器存储

原笔记比较了 Cookie、LocalStorage、SessionStorage 和 IndexedDB：Cookie 会随请求发送给服务器，容量较小；LocalStorage 持久保存在本地；SessionStorage 以页面会话为范围；IndexedDB 用于保存更大量的结构化数据。


梳理 HTTP 请求方法、协议版本、HTTPS 握手、缓存与安全相关基础。

HTTP 基础


# HTTP 与网络

- [HTTP 基础](HTTP基础.md)：请求方法、版本、HTTPS、握手与缓存。
- [浏览器网络](浏览器网络.md)：网络模型、Cookie、同源策略、CORS、URL 请求过程与 DNS。
- [网络安全](网络安全.md)：CSRF、XSS 与中间人攻击相关记录。
- [断点续传](断点续传.md)：分段下载和分片上传。


汇总 HTTP、浏览器网络、网络安全和断点续传等网络基础笔记。

HTTP与网络

断点续传：下载与上传

Web 网络安全基础

浏览器网络基础

HTTP 基础

HTTP 与网络学习笔记