2014年首版总复习与协议审计
把11章、202个正式目录节点压缩成可独立复核的一条HTTP请求生命周期与四道证据门
2014年首版总复习与协议审计
本课程对应[日]上野宣《图解HTTP》，于均良译，人民邮电出版社/图灵教育，2014年4月首版，308页，双色印刷，ISBN 9787115351531；原书《HTTPの教科書》，ISBN 9784798126258。图灵官方资料标明出版日期为2014年4月22日、172张图解；正式目录为11章、202个节/小节节点。本页把全部节点收束为一次端到端协议审计。
学习目标
- 能解释“2014年首版总复习与协议审计”全部正式节点，并把概念定位到真实请求、响应或应用状态。
- 能绘制客户端、中介、服务器之间的消息方向、主体边界和关键状态转移。
- 能设计单变量实验，验证“读者能从URI输入追踪到响应呈现或攻击阻断，逐段说明协议、中介、表示、身份和安全状态”。
- 能写出并提交包含原始报文、失败反例、恢复条件和版次边界的独立证据包。
机制总览
2014年首版总复习与协议审计：机制路径
- 1
从一条可证伪的HTTP交换开始
先预测：按术语列表复习会失去跨章因果；真正掌握必须让同一个请求同时通过报文、缓存、认证和攻击面审计。把预测写成“请求输入、线上消息、接收方状态、响应输出、最终副作用”五列，再运行实验。若结果与预测不同，先修正模型，不要只截取一个状态码证明自己。
- 2
核心词汇与首版边界
这些词汇按2014年首版语义使用。SPDY、HTTP/2.0、X-XSS-Protection、P3P等保留出版时状态；HTTP/2最终规范、HTTP/3、JWT、OAuth、SameSite等后续技术只能作为另行标注的现代补充，不改变本书目录分母。
- 3
核心机制深读
给定URI，写出DNS结果、TCP连接、TLS状态（若有）、请求行、Host、关键首部和最终状态码。缺少任一层就无法判断超时、连接失败与应用错误分别发生在哪里。
章级决策实验
2014年首版总复习与协议审计：机制与证据
切换《2014年首版总复习与协议审计》的三个关键教学阶段，先解释机制，再用运行与失败证据验证结论。
选择推理阶段
当前阶段 · 从一条可证伪的HTTP交换开始
先预测：按术语列表复习会失去跨章因果；真正掌握必须让同一个请求同时通过报文、缓存、认证和攻击面审计。把预测写成“请求输入、线上消息、接收方状态、响应输出、最终副作用”五列，再运行实验。若结果与预测不同，先修正模型，不要只截取一个状态码证明自己。
可核验证据
保存「从一条可证伪的HTTP交换开始」的原始请求与响应报文，用 curl 和浏览器网络面板复现成功、重定向、缓存及拒绝路径，并核对状态码与首部。
学完《2014年首版总复习与协议审计》后，应能从输入和前置条件推导状态变化，并用可重复的构建、运行或边界测试证明结果。
失效—证据矩阵
2014年首版总复习与协议审计：失效与核验
从一条可证伪的HTTP交换开始
典型失效
若只背诵「从一条可证伪的HTTP交换开始」字段而不区分请求语义、缓存边界和安全上下文，代理或浏览器状态变化后会得到错误响应或泄露数据。
核验证据
保存「从一条可证伪的HTTP交换开始」的原始请求与响应报文，用 curl 和浏览器网络面板复现成功、重定向、缓存及拒绝路径，并核对状态码与首部。
核心词汇与首版边界
典型失效
若只背诵「核心词汇与首版边界」字段而不区分请求语义、缓存边界和安全上下文，代理或浏览器状态变化后会得到错误响应或泄露数据。
核验证据
保存「核心词汇与首版边界」的原始请求与响应报文，用 curl 和浏览器网络面板复现成功、重定向、缓存及拒绝路径，并核对状态码与首部。
核心机制深读
典型失效
若只背诵「核心机制深读」字段而不区分请求语义、缓存边界和安全上下文，代理或浏览器状态变化后会得到错误响应或泄露数据。
核验证据
保存「核心机制深读」的原始请求与响应报文，用 curl 和浏览器网络面板复现成功、重定向、缓存及拒绝路径，并核对状态码与首部。
从一条可证伪的HTTP交换开始
先预测：按术语列表复习会失去跨章因果；真正掌握必须让同一个请求同时通过报文、缓存、认证和攻击面审计。把预测写成“请求输入、线上消息、接收方状态、响应输出、最终副作用”五列，再运行实验。若结果与预测不同，先修正模型，不要只截取一个状态码证明自己。
本章的主问题是：把11章、202个正式目录节点压缩成可独立复核的一条HTTP请求生命周期与四道证据门。原书以图解建立直觉，本课程把图解升级为可操作轨迹：每个箭头必须注明方向、协议对象和完成点；每个安全结论必须附一条攻击或误配置反例。
验收不变量是：读者能从URI输入追踪到响应呈现或攻击阻断，逐段说明协议、中介、表示、身份和安全状态。浏览器页面“看起来正常”只能说明某个终点出现，不能单独证明DNS、连接、TLS、缓存、认证或授权中的哪一段正确。
核心词汇与首版边界
↡从URI、DNS、TCP、请求、响应到浏览器处理的有序证据链、↡起始行、首部、空行、主体以及长度或分块终止条件、↡新鲜度、实体标签、修改时间和Vary共同决定副本是否可复用、↡TLS对端认证、应用认证、Session和对象授权各自独立的检查点、↡不可信输入跨越解析器、权限、会话或资源边界时形成的可利用路径
这些词汇按2014年首版语义使用。SPDY、HTTP/2.0、X-XSS-Protection、P3P等保留出版时状态；HTTP/2最终规范、HTTP/3、JWT、OAuth、SameSite等后续技术只能作为另行标注的现代补充，不改变本书目录分母。
核心机制深读
第一道门：传输轨迹
给定URI，写出DNS结果、TCP连接、TLS状态（若有）、请求行、Host、关键首部和最终状态码。缺少任一层就无法判断超时、连接失败与应用错误分别发生在哪里。
动手试：先写下预期请求、响应与状态变化，再捕获一次正常交换和一次只改一个变量的失败交换。比较状态码、首部、主体、缓存或会话状态，确认结论来自证据而非浏览器表象。
第二道门：表示与缓存
记录Content-Type、Content-Encoding、Content-Length或分块、ETag、Last-Modified、Cache-Control、Age和Vary。用一次冷请求、一次新鲜命中和一次过期重验证证明副本生命周期。
第三道门：身份与权限
分别回答TLS验证了谁、应用凭据验证了谁、Session ID如何生成和轮换、目标对象由谁授权。认证成功不等于有权访问任意对象，HTTPS也不替代应用授权。
第四道门：失败与攻击
修改一个方法、条件首部、Cookie、对象ID或输入上下文，预测400/401/403/404/412/500等结果与状态不变量，再观察服务端是否拒绝且没有副作用。
首版边界复核
SPDY、当时的HTTP/2.0期待、X-XSS-Protection和P3P保留历史语义；后来的HTTP/2定稿、HTTP/3、JWT、SameSite等可另设现代补充，但不计入本书正式目录覆盖。
原书目录核对清单
本页承担11个目录或复习节点，正文、图解、实验和题目必须能反向定位每一项：
- 复习1 第1章：Web与网络基础
- 复习2 第2章：简单HTTP协议
- 复习3 第3章：HTTP报文信息
- 复习4 第4章：HTTP状态码
- 复习5 第5章：协作Web服务器
- 复习6 第6章：HTTP首部
- 复习7 第7章：HTTPS
- 复习8 第8章：认证
- 复习9 第9章：HTTP扩展
- 复习10 第10章：Web内容技术
- 复习11 第11章：Web攻击技术
复原正常协议轨迹
固定URI、客户端、网络和服务端状态，标出请求行、首部、主体、中介与最终响应。
可复现实验
URI -> DNS -> TCP -> TLS? -> HTTP request -> intermediaries -> application -> HTTP response -> representationcold: 200 + representation + validators
fresh: local/shared cache hit
stale: conditional request -> 304 reuse | 200 replacetransport identity != application identity != object authorization
all three checks must pass before state change独立证据门
2014年首版总复习与协议审计 的最小证据包包含：首版目录节点、请求与响应原文、连接/中介方向、主体边界、缓存或会话状态、一个单变量失败、最终副作用、已知限制、恢复步骤、责任人与复核人。
练习
练习
问题 1：为什么“2014年首版总复习与协议审计”必须固定2014年首版语境？
问题 2：怎样构造“按术语列表复习会失去跨章因果；真正掌握必须让同一个请求同时通过报文、缓存、认证和攻击面审计”的最小反例？
问题 3：何时可以认为本页完成独立交接？
本章回顾
“2014年首版总复习与协议审计”的核心是把11章、202个正式目录节点压缩成可独立复核的一条HTTP请求生命周期与四道证据门。真正掌握不止是认出术语，而是能让一条请求在消息、连接、中介、表示、身份和攻击边界之间闭环，并用失败实验说明边界一旦被破坏会发生什么。
名词解释
本章出现的专业名词，用大白话再讲一遍。
- 协议轨迹
从URI、DNS、TCP、请求、响应到浏览器处理的有序证据链。掌握标准是能在原始请求或响应中定位它，并构造一条最小反例。
- 报文边界
起始行、首部、空行、主体以及长度或分块终止条件。掌握标准是能在原始请求或响应中定位它，并构造一条最小反例。
- 缓存验证
新鲜度、实体标签、修改时间和Vary共同决定副本是否可复用。掌握标准是能在原始请求或响应中定位它，并构造一条最小反例。
- 身份边界
TLS对端认证、应用认证、Session和对象授权各自独立的检查点。掌握标准是能在原始请求或响应中定位它，并构造一条最小反例。
- 攻击面
不可信输入跨越解析器、权限、会话或资源边界时形成的可利用路径。掌握标准是能在原始请求或响应中定位它，并构造一条最小反例。