图HTTP是明文传输协议，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP协议安全。关于安全性，用最简单的比喻形容两者的关系就是卡车运货，HTTP下的运货车是敞篷的，货物都是暴露的。而https则是封闭集装箱车，安全性自然提升不少。HTTPS比HTTP更加安全，对搜索引擎更友好，利于SEO,谷歌、百度优先索引HTTPS网页;HTTPS需要用到SSL证书，而HTTP不用;HTTPS标准端口443，HTTP标准端口80;HTTPS基于传输层，HTTP基于应用层;HTTPS在浏览器显示绿色安全锁，HTTP没有显示;

1.Client发起一个HTTPS（比如https://juejin.im/user/5a9a9cdcf265da238b7d771c）的请求，根据RFC2818的规定，Client知道需要连接Server的443（默认）端口。2.Server把事先配置好的公钥证书（publickeycertificate）返回给客户端。3.Client验证公钥证书：比如是否在有效期内，证书的用途是不是匹配Client请求的站点，是不是在CRL吊销列表里面，它的上一级证书是否有效，这是一个递归的过程，直到验证到根证书（操作系统内置的Root证书或者Client内置的Root证书）。如果验证通过则继续，不通过则显示警告信息。4.Client使用伪随机数生成器生成加密所使用的对称密钥，然后用证书的公钥加密这个对称密钥，发给Server。5.Server使用自己的私钥（privatekey）解密这个消息，得到对称密钥。至此，Client和Server双方都持有了相同的对称密钥。6.Server使用对称密钥加密“明文内容A”，发送给Client。7.Client使用对称密钥解密响应的密文，得到“明文内容A”。8.Client再次发起HTTPS的请求，使用对称密钥加密请求的“明文内容B”，然后Server使用对称密钥解密密文，得到“明文内容B”。

既然HTTPS那么安全可靠，那为何不所有的Web网站都使用HTTPS？首先，很多人还是会觉得HTTPS实施有门槛，这个门槛在于需要权威CA颁发的SSL证书。从证书的选择、购买到部署，传统的模式下都会比较耗时耗力。其次，HTTPS普遍认为性能消耗要大于HTTP，因为与纯文本通信相比，加密通信会消耗更多的CPU及内存资源。如果每次通信都加密，会消耗相当多的资源，平摊到一台计算机上时，能够处理的请求数量必定也会随之减少。但事实并非如此，用户可以通过性能优化、把证书部署在SLB或CDN，来解决此问题。举个实际的例子，“双十一”期间，全站HTTPS的淘宝、天猫依然保证了网站和移动端的访问、浏览、交易等操作的顺畅、平滑。通过测试发现，经过优化后的许多页面性能与HTTP持平甚至还有小幅提升，因此HTTPS经过优化之后其实并不慢。除此之外，想要节约购买证书的开销也是原因之一。要进行HTTPS通信，证书是必不可少的。而使用的证书必须向认证机构（CA）购买。最后是安全意识。相比国内，国外互联网行业的安全意识和技术应用相对成熟，HTTPS部署趋势是由社会、企业、政府共同去推动的。

在HTTP协议中有可能存在信息窃取或身份伪装等安全问题。使用HTTPS通信机制可以有效地防止这些问题，接下来，我们先来了解下HTTP协议存在的哪些问题：通信使用明文（不加密），内容可能被窃听由于HTTP本身不具备加密的功能，所以也无法做到对通信整体（使用HTTP协议通信的请求和响应的内容）进行加密。即，HTTP报文使用明文（指未经过加密的报文）方式发送。HTTP明文协议的缺陷是导致数据泄露、数据篡改、流量劫持、钓鱼攻击等安全问题的重要原因。HTTP协议无法加密数据，所有通信数据都在网络中明文“裸奔”。通过网络的嗅探设备及一些技术手段，就可还原HTTP报文内容。无法证明报文的完整性，所以可能遭篡改所谓完整性是指信息的准确度。若无法证明其完整性，通常也就意味着无法判断信息是否准确。由于HTTP协议无法证明通信的报文完整性，因此，在请求或响应送出之后直到对方接收之前的这段时间内，即使请求或响应的内容遭到篡改，也没有办法获悉。换句话说，没有任何办法确认，发出的请求/响应和接收到的请求/响应是前后相同的。不验证通信方的身份，因此有可能遭遇伪装HTTP协议中的请求和响应不会对通信方进行确认。在HTTP协议通信时，由于不存在确认通信方的处理步骤，任何人都可以发起请求。另外，服务器只要接收到请求，不管对方是谁都会返回一个响应（但也仅限于发送端的IP地址和端口号没有被Web服务器设定限制访问的前提下）HTTP协议无法验证通信方身份，任何人都可以伪造虚假服务器欺骗用户，实现“钓鱼欺诈”，用户无法察觉。反观HTTPS协议，它比HTTP协议相比多了以下优势:数据隐私性：内容经过对称加密，每个连接生成一个唯一的加密密钥数据完整性：内容传输经过完整性校验身份认证：第三方无法伪造服务端（客户端）身份

我们知道加密方式有三种对称加密非对称加密混合加密HTTPS采用的就是对称加密和非对称加密的混合加密方法。混合加密解决了信息的机密性，防止数据被窃听摘要算法实现了数据的完成性，防止了数据被篡改数字证书提供了身份验证，防止了被冒充风险

HTTPS是在HTTP上建立SSL加密层，并对传输数据进行加密，是HTTP协议的安全版。现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。HTTPS主要作用是：（1）对数据进行加密，并建立一个信息安全通道，来保证传输过程中的数据安全;（2）对网站服务器进行真实身份认证。我们经常会在Web的登录页面和购物结算界面等使用HTTPS通信。使用HTTPS通信时，不再用http://，而是改用https://。另外，当浏览器访问HTTPS通信有效的Web网站时，浏览器的地址栏内会出现一个带锁的标记。对HTTPS的显示方式会因浏览器的不同而有所改变。

HTTPS是在HTTP上建立SSL加密层，并对传输数据进行加密，是HTTP协议的安全版。现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。HTTPS主要作用是：（1）对数据进行加密，并建立一个信息安全通道，来保证传输过程中的数据安全;（2）对网站服务器进行真实身份认证。我们经常会在Web的登录页面和购物结算界面等使用HTTPS通信。使用HTTPS通信时，不再用http://，而是改用https://。另外，当浏览器访问HTTPS通信有效的Web网站时，浏览器的地址栏内会出现一个带锁的标记。对HTTPS的显示方式会因浏览器的不同而有所改变。

（1）尽可能多地利用硬件能力，如使用3D变形来开启GPU加速，例如以下代码。-webkit-transform:translate3d(0,0,0);-moz-transform:translate3d(0,0,0);-ms-transform:translate3d(0,0,0);transform:translate3d(0,0,0)；一个元素通过translate3d右移500X的动画流畅度会明显优于使用left属性实现的动画移动，原因是CSS动画属性会触发整个页面重排、重绘、重组。paint通常是最耗性能的，尽可能避免使用触发paint的CSS动画属性。如果动画执行过程中有闪烁（通常发生在动画开始的时候），可以通过如下方式处理。-webkit-backface-visibility:hidden;-moz-backface-visibility:hidden；-ms-backface-visibility:hidden;backface-visibility:hidden；-webkit-perspective：1000；-moz-perspective：1000；-ms-perspective：1000；perspective：1000;（2）尽可能少使用box-shadows和gradients，它们往往严重影响页面的性能，尤其是在一个元素中同时都使用时。（3）尽可能让动画元素脱离文档流，以减少重排，如以下代码所示。position:fixed；position:absolute;

（1）使用最新版本的jQuery类库。JQuery类库每一个新的版本都会对上一个版本进行Bug修复和一些优化，同时也会包含一些创新，所以建议使用最新版本的jQuery类库提高性能。不过需要注意的是，在更换版本之后，不要忘记测试代码，毕竟有时候不是完全向后兼容的。（2）使用合适的选择器。jQuery提供非常丰富的选择器，选择器是开发人员最常使用的功能，但是使用不同选择器也会带来性能问题。建议使用简凖选择器，如i选择器、类选择器，不要将i选择器嵌套等。（3）以数组方式使用jQuery对象。使用jQuery选择器获取的结果是一个jQuery对象。然而，jQuery类库会让你感觉正在使用一个定义了索引和长度的数组。在性能方面，建议使用简单的for或者while循环来处理，而不是$.each()，这样能使代码更快。（4）每一个JavaScript事件（例如click、mouseover等）都会冒泡到父级节点。当需要给多个元素绑定相同的回调函数时，建议使用事件委托模式。（5）使用join()来拼接字符串。使用join()拼接长字符串，而不要使用“+”拼接字符串，这有助于性能优化，特别是处理长字符串的时候。（6）合理利用HTML5中的data属性。HTML5中的data属性有助于插入数据，特别是前、后端的数据交换；jQuery的data()方法能够有效地利用HTML5的属性来自动获取数据。