网络八股

一句话：HTTP/1.1 用一条连接串行传，HTTP/2 在一条 TCP 上多路复用，HTTP/3 把复用下沉到 QUIC 的独立流。

两个层面的队头阻塞

• HTTP 层：1.1 的响应必须按请求顺序返回，管道化受中间设备影响基本不可用；2 用 Stream ID 让帧交错发送，谁先好谁先回。
• TCP 层：2 的所有流共用一条 TCP，任何一个包丢失，内核要等重传，后续所有流的数据都被内核挡住——应用层再怎么分帧也没用。

QUIC 为什么基于 UDP

• TCP 在内核里、由操作系统和中间设备固化，改拥塞控制或重传语义要动整个链路；UDP 之上用户态实现，浏览器发版就能迭代。
• QUIC 自己做可靠传输、流控、加密，避免"TCP 重传 + QUIC 重传"的双重可靠性开销。
• 连接用 Connection ID 标识，换 WiFi/4G 时 IP 变了也能迁移，不用重新握手。

四、HTTPS 握手

一句话：非对称只用来安全地协商出对称密钥，真正的数据全程用对称加密。

TLS 1.2（两次往返）

1. ClientHello：随机数 A、支持的套件、SNI。
2. ServerHello：随机数 B、选定套件；Certificate 证书链；ServerKeyExchange 带 ECDHE 参数并签名。
3. 客户端验证证书，生成预主密钥用公钥加密发送（RSA 密钥交换）或直接算 ECDHE 共享密钥。
4. 双方用 A + B + 预主密钥算出会话密钥，ChangeCipherSpec + Finished 验证握手未被篡改。

TLS 1.3 把密钥交换统一到 ECDHE，删掉 RSA 密钥交换与不安全的套件，压缩到 1-RTT；会话恢复可 0-RTT，代价是有重放风险。

为什么分工：非对称运算慢、有长度限制，只适合少量数据；对称加密快几个数量级，适合持续传输。

证书链校验：叶子证书 → 中间 CA → 根 CA。浏览器只内置根证书，逐级验证签名、有效期、域名（SAN）与用途（KeyUsage），再查吊销状态（CRL / OCSP）。

追问：中间人能不能伪造——不能，缺的是根 CA 的私钥；自签证书为什么会红——链到不了受信根。

五、强缓存与协商缓存

一句话：强缓存决定"要不要发请求"，协商缓存决定"发了之后能不能用旧的"。

协商缓存

• Last-Modified / If-Modified-Since：精度到秒，文件内容变了但 mtime 没变会误判。
• ETag / If-None-Match：内容指纹，精度高，多部署节点要保证算法一致，否则缓存失效。
• 两者同时存在时 ETag 优先；命中返回 304，没有响应体。

from disk cache 与 from memory cache

• memory cache 在渲染进程内存里，同一次导航内复用，进程结束即消失，多为小文件或当前文档的资源。
• disk cache 落盘，跨会话有效，容量大，多为大文件。

追问：为什么线上发版后用户还是旧页面——index.html 被缓存了，需要给它 no-cache。

六、跨域与 CORS

一句话：跨域限制的是"读取响应"，不是"发出请求"；CORS 是服务端授权浏览器放宽这个限制。

• 同源 = 协议 + 域名 + 端口完全一致。
• 简单请求：方法为 GET/HEAD/POST，头在安全列表内，Content-Type 仅限 text/plain、multipart/form-data、application/x-www-form-urlencoded。
• 非简单请求先发 OPTIONS 预检，带 Access-Control-Request-Method 与 Access-Control-Request-Headers。

Cookie 跨域为什么必须具体域名

Allow-Origin: * 与 Allow-Credentials: true 互斥。带凭证时若还允许通配，任意站点都能借用户的 Cookie 读取数据，等于同源策略失效。所以需要：请求侧 withCredentials = true 或 credentials: 'include'，响应侧 Allow-Origin 回写具体 origin、Allow-Credentials: true，Cookie 自身还要 SameSite=None; Secure。

追问：预检能不能省——Max-Age 内可复用；同源部署、BFF 代理、JSONP 都是绕过方案，各有代价。

七、容易答错的状态码

判断口诀：3xx 看永久性与是否保方法，4xx 看缺凭证还是缺权限，5xx 看谁坏了。

关联阅读

• HTTP 协议
• 浏览器是如何渲染页面的
• 面试总览