Урок 6 — HTTP: язык интернета

HTTP — это «язык», на котором браузер разговаривает с веб-сервером. На нём же работают API, мобильные приложения, микросервисы. Понять его — значит понять 80% того, что происходит в вашем продакшене.

1. Что такое HTTP

HTTP — HyperText Transfer Protocol. Изначально создан для передачи HTML-страниц («гипертекста»), но сейчас на нём работают: страницы, API, файлы, видео, чаты, всё что угодно.

Принципы:

• Текстовый. Запросы и ответы — это обычный текст. Можно набрать руками в telnet или nc.
• Клиент-серверный. Клиент инициирует, сервер отвечает (как в уроке 1).
• Без состояния (stateless). Сервер не помнит твой прошлый запрос. Если нужно — клиент сам шлёт «удостоверение» в каждом запросе (cookie или token).
• Запрос-ответ. Один запрос — один ответ. Не «подписка» и не «поток» (для подписок есть WebSocket).

HTTP работает поверх TCP (а HTTPS — поверх TCP+TLS). По умолчанию HTTP использует порт 80, HTTPS — 443.

2. URL — анатомия адреса

То, что ты вводишь в адресной строке, называется URL (Uniform Resource Locator). У него строго определённая структура:

На сервер ушло всё, кроме fragment (всё, что после #) — это обрабатывается только в браузере и сервер о нём не знает.

3. Что такое запрос

HTTP-запрос — это просто текст. Вот как он выглядит «изнутри», без браузерной обёртки:

GET /users/42 HTTP/1.1
Host: api.example.com
User-Agent: Mozilla/5.0
Accept: application/json
Authorization: Bearer eyJhbGc...
Cookie: session=abc123

(пустая строка — конец заголовков)
(тело запроса — для GET обычно пустое)

Структура — три части:

1. Стартовая строка: метод + путь + версия HTTP
2. Заголовки: мета-информация, ключ-значение
3. Тело (body): данные (для POST, PUT, PATCH). Пустое для GET

4. Методы HTTP

Метод говорит серверу, что мы хотим сделать с ресурсом. Их немного, и каждый имеет свой смысл:

5. Что такое ответ

HTTP/1.1 200 OK
Date: Wed, 15 May 2026 12:00:00 GMT
Content-Type: application/json; charset=utf-8
Content-Length: 87
Cache-Control: max-age=300
Server: nginx/1.25.0

{"id": 42, "name": "Alice", "email": "alice@example.com"}

Структура та же — стартовая строка (теперь с кодом статуса), заголовки, тело.

6. Коды статуса

Трёхзначное число, которое говорит результат запроса. Группируется по первой цифре:

7. Заголовки

Заголовки — это пары «ключ: значение», которые несут метаданные. Их сотни, но десятка нужно знать наизусть:

8. Куки и сессии

HTTP без состояния. Сервер сам по себе не знает, что ты тот же пользователь, который заходил минуту назад. Чтобы запомнить — придумали куки (cookies).

Механика:

1. Клиент логинится — отправляет username/password
2. Сервер проверяет, создаёт сессию, шлёт ответ с Set-Cookie: session=abc123
3. Браузер запоминает эту куку
4. В каждом следующем запросе клиент шлёт Cookie: session=abc123
5. Сервер видит куку, находит сессию, понимает «это Alice»

У кук есть важные атрибуты безопасности:

• HttpOnly — JavaScript не сможет прочитать куку (защита от XSS)
• Secure — кука шлётся только по HTTPS
• SameSite — кука не отправляется при кросс-доменных запросах (защита от CSRF)
• Max-Age / Expires — срок жизни

В современных приложениях вместо «классических сессий с кукой» часто используют JWT-токены в заголовке Authorization. Принцип тот же — клиент несёт удостоверение в каждом запросе.

9. HTTP/1.1 vs HTTP/2 vs HTTP/3

На практике: современный продакшен — HTTP/2 везде (TLS требует HTTP/2 в новых браузерах). HTTP/3 — растущий стандарт; Cloudflare, Google, Meta уже массово на нём. Учи как «знать о существовании», но HTTP/2 пока главный.

10. REST — стиль API

REST (Representational State Transfer) — это не протокол, а стиль построения HTTP-API. Идея:

• Каждый «ресурс» имеет уникальный URL (/users/42)
• Метод HTTP описывает действие: GET читать, POST создать, PUT/PATCH обновить, DELETE удалить
• Ответы в формате JSON
• Statelessness — каждый запрос самодостаточен

# Получить список пользователей
GET    /users

# Получить одного
GET    /users/42

# Создать нового
POST   /users        + body { "name": "Bob" }

# Обновить
PATCH  /users/42     + body { "name": "Alice" }

# Удалить
DELETE /users/42

Альтернативы REST — GraphQL (один POST-эндпоинт, гибкая query), gRPC (бинарный, поверх HTTP/2, для микросервисов). Знай о существовании.

11. Что с этим делает DevOps

12. Команды и упражнения

curl — лучший друг

# Простой GET
curl https://api.example.com/users/42

# Подробный вывод (с заголовками запроса и ответа)
curl -v https://api.example.com/users/42

# Только заголовки ответа (HEAD)
curl -I https://api.example.com/

# POST с JSON
curl -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer eyJhbGc..." \
  -d '{"name": "Alice"}' \
  https://api.example.com/users

# Следовать редиректам
curl -L https://example.com

# Сохранить ответ в файл
curl -o page.html https://example.com

# Тайминги — где медленно
curl -w "DNS: %{time_namelookup}s | Connect: %{time_connect}s | TLS: %{time_appconnect}s | Total: %{time_total}s\n" \
     -o /dev/null -s https://example.com

HTTPie — дружелюбная альтернатива

# Подсветка JSON, удобный синтаксис
sudo apt install httpie
http GET https://api.example.com/users/42
http POST https://api.example.com/users name=Alice email=alice@example.com

Сделать HTTP-запрос «руками»

nc example.com 80
GET / HTTP/1.1
Host: example.com
Connection: close

# (двойной Enter)
# Сервер ответит сырым HTTP — увидишь заголовки + тело

13. Чек-лист «понимаю это»

14. Задачи — реши сам (ответы спрятаны)