# Web开发面试的那些题-网络篇 Web 开发者面试题集第二篇，关于计算机网络。 {{< admonition abstract "写在前面" >}} 秋招提前批已经基本结束了，即将进入金九银十，正式的号角已经打响。春招，以及秋招提前批一路过来，断断续续也面了一些公司，自己在笔记上也有总结，甚至自己进行过一些猜题。发现基本问到的问题八九不离十，但是有些知识，特别是偏工程的知识点，如果没遇到过，很难产生深刻的印象。结合自己之前的笔记，也想在正式进入 9 月之前，整理一个面试题集系列，加深理解 这是这个系列的第二篇，关于前端开发者需要掌握的计算机网络知识，作为一名前端开发者，web 和网络基础是很重要的，当然，也是面试中最容易被问到的。 {{< /admonition >}} ## TCP 和 UDP 的区别 这是一个老生常谈的问题了，答的时候只要思路清晰，抓住重点即可 1. 从报文段的角度，TCP 首部 20 字节，UDP 首部 8 字节，UDP 报文段开销比 TCP 小很多 ![](tcp_segment.png) ![](udp_segment.png) 2. 从连接建立的角度来看，TCP 是面向连接的，连接建立需要三次握手；而 UDP 无连接建立，不会有建立连接产生的时延，速度更快 3. 从连接管理的角度来看，TCP 连接建立之后客户端和服务器需要维护连接的状态（包括接收和发送方缓存，拥塞控制参数，确认号和控制号等等），UDP 不维护这些状态，因此服务器资源可以用来支持更多活跃用户 4. 上面三点几乎都感觉 UDP 明显优于 TCP，那是因为还没谈到使用场景。TCP 需要占用更多资源，这些资源几乎都用来保障其数据准确性了。因此，使用场景上，UDP 适合于对数据精度要求不高，但是却无法忍受过多时延的应用，典型常见的是 DNS，DNS 作为访问网站前的域名-IP 映射，如果时延过大，明显会影响冲浪体验，而且 DNS 的映射不会经常变动，我们还可以将映射结果保存起来，对数据精度自然要求没那么高了。而对于一些文件传输，我们往往要求数据不能丢失，时间倒不是第一考虑因素，此时应该使用 TCP ![](tcp_udp_scenario.png) ## HTTP 和 HTTPS 的区别 http 和 https 的主要差别在于's'，'s'表示 secure，指代更加安全的 http 协议 对于 http 来说，我们的 http 报文是经过 TCP 套接字转交给 TCP 的，而 TCP 没有提供任何加密机制，我们的数据原原本本地交给 TCP 后，服务端再由 TCP 提取出来 http 报文转交给上面的应用层接收进程 而 https 则使用了 SSL(Secure Socket Layer)，叫做安全套接字层，此时的 http 报文先经过 SSL 加密后再转交给 TCP 套接字层，服务端由 TCP 套接字提取出报文来再转交给 SSL 解密，最后转交给应用层接收进程 ![](ssl.png) SSL 技术上的实现是在应用层的，如果一个应用程序要使用 SSL 的服务，他需要在该应用程序的客户端和服务端包括 SSL 的代码（使用现有的一些类库）。SSL 有他自己的套接字 API，这类似于传统的 TCP 套接字 API HTTPS 的优缺点： - 优点 1. 可认证用户端和服务端，确保数据发送准确（基于网站注册的证书识别该网站） 2. HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议，要比 http 协议安全，可防止数据在传输过程中被窃取、改变，从而确保数据的完整性 3. 谷歌曾在 2014 年 8 月份调整搜索引擎算法，并称“比起同等 HTTP 网站，采用 HTTPS 加密的网站在搜索结果中的排名将会更高” - 缺点 1. HTTPS 协议需要握手交换密钥信息，这个过程增加了连接时间 2. HTTPS 连接需要分配额外的连接缓存，不如 HTTP 高效 3. SSL 证书需要钱，功能却强大的证书费用越高，一般小网站，个人网站没必要使用 4. SSL 证书需要绑定域名，如果一个 IP 有多个域名，只能在一个域名下使用 SSL 服务。证书服务机构也有提供通配符域名，例如: `https://*.tianzhich.com`，但是价格更昂贵 **扩展：使用 SSL 的握手阶段** 使用 SSL 宏观上有三个阶段：握手，密钥导出和数据传输，后两者涉及较深的网络安全知识。这里只简单说下第一个阶段：握手 ![](ssl_shakehands.png) 握手阶段首先需要建立一个 TCP 连接，然后的过程就是密钥传输，关于密钥传输有**对称加密**和**非对称加密** > - 对称加密：加密和解密使用同一个密钥，保障安全性就是保障密钥的安全，而由于密钥必须要发给解密者，中途可能会被窃取，因此安全程度不高，但由于使用同一个密钥，加解密速度较快 > - 非对称加密：发送密文生成一对密钥，公钥暴露给给接收方用来加密数据，自己使用对应的私钥进行解密，由于公钥只能用来加密数据，私钥用来解密但是只有自己知道，而且算法强度往往更复杂，因此加密速度较慢，但是更安全 上面的情况是：接收方（右边女士）在它的网站使用了 SSL，当发送方（左边男士）发送第一个请求时，接收方将证书提供给发送方，发送方使用证书中包含的公钥对主密钥进行加密，接收方收到后，用自己的私钥解密主密钥，之后的信息通过主密钥加密传输 这样本质上使用了非对称加密对主密钥进行加解密，这样保障了主密钥传输过程的安全性，但是最后还是使用对称加密对信息进行传输（主密钥），因为这样速度较快 关于非对称加密，知乎上有一个[高赞的通俗易懂的例子: 如何用通俗易懂的话来解释非对称加密? - ThreatHunter 的回答 - 知乎](https://www.zhihu.com/question/33645891/answer/192604856) 如果看完上面的例子，还想继续了解非对称加密算法的本质，那我们可以继续聊聊非对称加密的一个经典算法(**RSA 算法**)。当然，这道题答到这里也很不错了 **扩展：RSA 算法** 1. 欧拉函数 - 欧拉函数 $\varphi(n)$ 是小于或等于 n 的正整数中与 n 互质的数的数目 - 例如：$\varphi(8) = 4$，因为 1，3，5，7 均和 8 互质 2. 模反元素 - 如果两个正整数 a 和 n 互质，那么一定可以找到整数 b，使得 ab-1 被 n 整除，或者说 ab 被 n 除的余数是 1 - b 叫做 a 关于 n 的模反元素，$ab \equiv 1\pmod n$ - 模反元素不止一个 - 例如：上面的 $a=3$ 和 $n=8$ 互质，可以找到 $b=3, 11...$ 满足条件 3. 欧拉定理 - 如果两个正整数 a 和 n 互质，则 n 的欧拉函数 $\varphi(n)$ 可以让下面的等式成立： $$ a^{\varphi(n)} \equiv a\times a^{\varphi(n)-1}\equiv1\pmod n $$ - 根据模反元素的定义，$a^{\varphi(n)-1}$是 a 的模反元素 - 例如：$a=3$和$n=5$互质，$\varphi(5)=4$，则有：$a\times a^3 = 81$，$(81-1)\\%5=0$ 4. 小费马定理（欧拉定理的一个特例） - 两个正整数中的 n 为一个质数 p，此时$\varphi(p) = p-1$，此时欧拉定理可以写成 $$ a^{p-1} \equiv1\pmod p $$ 5. RSA 算法 ![](rsa_algorithms.png) - p,q：随机挑选两个大质数（上图没有） - N：$N = p\times q$ - r：$r = \varphi(N) = \varphi(p\times q) = \varphi(p) \times \varphi(q)$，这条定理也直接给出，这里不证明了，数学有点渣渣，想了解证明定理的可以[查看维基百科 -- Chinese remainder theorem](https://en.wikipedia.org/wiki/Chinese_remainder_theorem) > 注意，这里还可以使用 lcm(求最小公倍数)$r=lcm(\varphi(p), \varphi(q))=lcm(p-1, q-1)$。关于这两个方法的选择上来说，深入起来也可以[长篇大论]()，这里也不讨论了。。。 - E：随机选择的和 r 互质且小于 r 的数字 - D：E 的模反元素，$E\times D \equiv 1\pmod r$ 6. RSA 算法加解密证明 - 上面的定义表达式都使用了$\equiv$，为了证明方便以及阅读，先将加解密式子转换成数学表达式，设明文为 c, 密文为 m $$ \begin{alignedat}{2} encode:\space&m&=c\^E\space\\%\space N \\\ decode:\space&c&=m\^D\space\\%\space N \\\ \end{alignedat} $$ - 要证明解密出来的密文就是原来的明文，即需要证明 $$ c=(c^E\\%N)^D\\%N $$ - 证明上面这个式子需要一个结论和其推导结论，这两个个结论先给出，后面再给出证明 $$ \begin{aligned} (a\times b)\\%N&=a\\%N\times b\\%N \\\ \Rightarrow a^M\\%N&=(a\\%N)^M \\\ \end{aligned} $$ - 根据这个结论，上面证明的式子可以化简为 $$ \begin{aligned} &c=(c^E\\%N)^D\\%N \\\ \Rightarrow&c=(c\\%N)^{ED}\\%N \\\ \Rightarrow&c=(c\\%N\\%N)^{ED} \\\ \Rightarrow&c=(c\\%N)^{ED} \\\ \Rightarrow&c=c^{ED}\\%N \end{aligned} $$ - 又因为$E\times D \equiv 1\pmod r$，设$ED=k\times r+1=k\times \varphi(N)+1$，所以 $$ \begin{aligned} &c=c^{k\times \varphi(N)+1}\\%N \\\ \Rightarrow&c=(c\times c^{k\times \varphi(N)})\\%N \\\ \Rightarrow&c=(c\\%N)\times (c^{\varphi(N)}\\%N)^{k} \\\ \end{aligned} $$ - RSA 算法的关键处就在于找到一个与明文 c 互质的 N，后面也会解决找的问题，这里假设找到的 N 可以与任何明文 c 互质，根据欧拉定理化简可以得证 $$ c=(c\\% N)\times 1^k=c $$ - 到这里还有两个问题，首先是$(a\times b)\\%N=a\\%N\times b\\%N$结论的证明，假设$a=k_1\times N+t_1, b=k_2\times N+t_2$，则 $$ \begin{aligned} a\times b&=k_1\times k_2\times N^2+t_1\times t_2+(k_1\times t_2+k_2\times t_1)\times N \\\ \Rightarrow(a\times b)\\% N&=0+(t_1\times t_2)+0=a\\%N\times b\\%N \\\ \end{aligned} $$ - 第二个问题是，如何确保一个 N，能够使得所有明文 c 都与其互质 RSA 在 N 的选择上，有一个限制，其明文 c 大小必须小于 p 和 q，这样一来，c 与 p 和 q 分别互质，自然也与其乘积 N 互质 7. RSA 算法为什么安全 - 由于公钥会被公开，也就是说 E 和 N 我们会公开使用，最为重要的就是私钥中的 D，一旦 D 泄露，就会泄密 - 那么知道公钥对(E, N)如何拿到 D 呢？和生成钥匙对的过程一样 1. 首先将 N 分解成 p, q 2. 计算出 r：$r = \varphi(N) = \varphi(p\times q) = \varphi(p) \times \varphi(q)$或者$r=lcm(\varphi(p), \varphi(q))=lcm(p-1, q-1)$ 3. $D=\frac {k\times r+1}{E}$ - 关键就在于由 p, q 计算出 N 非常容易，但是想把其分解成两个质数 p, q 难度极大。目前公开破译的 N 位数是 768 位，实际使用一般是 1024 位或是 2048 位，所以理论上特别的安全。 8. 参考：[RSA 的证明](https://blog.csdn.net/desert187/article/details/51123269) ## HTTP 响应状态码 | 分类 | 描述 | | ----- | ------------------------------------ | | 1\*\* | 服务器收到请求，需要继续执行某些操作 | | 2\*\* | 成功，操作成功并被处理 | | 3\*\* | 重定向，进一步操作以完成请求 | | 4\*\* | 客户端错误 | | 5\*\* | 服务端错误 | 下面是典型的几个状态码 - 101，Switching Protocols，切换协议。服务器根据客户端的请求切换协议。只能切换到更高级的协议，例如，切换到 HTTP 的新版本协议 - 200，OK，请求成功 - 301，Moved Permanently，永久移动。请求的资源已被永久的移动到新 URI，返回信息会包括新的 URI，浏览器会自动定向到新 URI。今后任何新的请求都应使用新的 URI 代替 - 302，Found，临时移动。与 301 类似。但资源只是临时被移动。客户端应继续使用原有 URI - 304，Not Modified，未修改。所请求的资源未修改，服务器返回此状态码时，不会返回任何资源。客户端通常会缓存访问过的资源，通过提供一个头信息指出客户端希望只返回在指定日期之后修改的资源 - 400，Bad Request，客户端请求的语法错误，服务器无法理解 - 401，Unauthorized，请求要求用户的身份认证 - 403，Forbidden，服务器理解请求客户端的请求，但是拒绝执行此请求（区分 400） - 404，Not Found，服务器无法根据客户端的请求找到资源（网页）。通过此代码，网站设计人员可设置"您所请求的资源无法找到"的个性页面 - 500，Internal Server Error，服务器内部错误，无法完成请求 - 501，Not Implemented，服务器不支持请求的功能，无法完成请求 - 502，充当网关或代理的服务器，从远端服务器接收到了一个无效的请求 ## 解决跨域有哪些方法 ### 什么是同源策略 同源策略/SOP（Same Origin Policy）是一种约定，同源指的是“协议+域名+端口”三者相同，同源策略是浏览器的安全机制之一 ### 什么是跨域 广义的跨域，即是一个域下的文档或脚本去请求另一个域下的资源，包含了跳转链接，表单提交，iframe 的加载等等 而一般提到的跨域，是狭义的跨域，即由同源策略限制造成的请求不能发送的问题 ### 解决跨域的方法 ### JSONP JSONP 是我最早了解跨域的方式，那时候使用的是 jQuery，jQuery 使用 JSONP 非常的简单和方便 ### 原生 JS 解决 ```javascript var tag = document.createElement("script"); tag.src = "somewhere_else.php?callback=foo"; document.getElementsByTagName("head")[0].appendChild(tag); function foo(res) { console.log(res); } // 服务端返回内容如下，返回对象作为参数传入回调函数，并将回调函数作为全局函数调用 foo({ status: true, data: "bar" }); ``` ### jQuery 解决跨域问题 ```javascript $.ajax({ url: "somewhere_else.php", type: "get", dataType: "jsonp", jsonpCallback: "foo", }); function foo(res) { console.log(res); } // 服务端返回内容如下，返回对象作为参数传入回调函数，并将回调函数作为全局函数调用 foo({ status: true, data: "bar" }); ``` JSONP 的解决方式只适用于 get 请求，因为其本质上是使用`