1
游戏中 HTTP 的使用场景（比你想象的多）：
2
• 登录认证 → HTTPS + OAuth / JWT
3
• 热更新   → HTTP + CDN 下载资源包
4
• 排行榜   → REST API
5
• 公告/邮件 → HTTP 接口
6
• SDK 接入  → 支付、广告都是 HTTP
7
• 埋点上报  → HTTP POST

1
=== 请求报文 ===
2
GET /api/leaderboard?type=pvp HTTP/1.1      ← 请求行（方法 URI 版本）
3
Host: game.example.com                       ← 头部
4
Content-Type: application/json
5
Authorization: Bearer <token>
6
                                             ← 空行
7
{"page": 1, "count": 20}                     ← 请求体（GET 通常没有）
8

9
=== 响应报文 ===
10
HTTP/1.1 200 OK                              ← 状态行
11
Content-Type: application/json
12
Content-Length: 256
13
                                             ← 空行
14
{"players": [...]}                           ← 响应体

1
HTTP/1.1 的队头阻塞：
2
  连接 1: 请求A → 等响应A → 请求B → 等响应B
3
  解决方案：开 6 个并行连接 → 但每个都占资源
4

5
HTTP/2 多路复用：
6
  连接 1: 流1:请求A  流2:请求B  流3:请求C  → 并行处理
7
  一个 TCP 连接就够了

1
HTTPS 的聪明之处：
2
用非对称加密安全地交换对称密钥 → 之后用对称密钥加密数据
3
= 非对称的安全性 + 对称的速度

1
服务器证书是否可信？
2
→ 证书由 CA（证书颁发机构）签名
3
→ CA 的证书由更高级 CA 签名
4
→ 根 CA 的证书内置在操作系统/浏览器中
5

6
验证链：服务器证书 → 中间 CA → 根 CA（预装信任）
7

8
中间人攻击 (MITM)：
9
  攻击者拦截通信 → 伪造证书 → 如果客户端不验证证书就会被骗
10
  防御：严格验证证书链 + 证书固定 (Certificate Pinning)

1
// WebSocket = HTTP 升级后的全双工协议
2
// 建立过程：
3
// 1. 客户端发 HTTP 请求带 Upgrade: websocket
4
// 2. 服务器回 101 Switching Protocols
5
// 3. 之后双方直接发 WebSocket 帧（不再是 HTTP）
6

7
// WebSocket vs HTTP 长连接 vs TCP
8
// HTTP 长连接：保持 TCP 连接复用，但仍是请求-响应模式
9
// WebSocket：建立后双方可随时发消息（全双工）
10
// 裸 TCP：更底层，WebSocket 是基于 TCP 的应用层协议

1
// Protobuf 定义（.proto 文件）
2
message PlayerMove {
3
    uint32 player_id = 1;
4
    float x = 2;
5
    float y = 3;
6
    float z = 4;
7
    float yaw = 5;
8
    uint32 timestamp = 6;
9
}
10

11
// 序列化后只有 ~24 字节（JSON 可能 100+ 字节）
12
// 编解码速度比 JSON 快 5~10 倍

1
JWT (JSON Web Token) 在游戏中的使用：
2
  登录流程：
3
  1. 客户端用账号密码请求登录接口
4
  2. 服务器验证 -> 生成 JWT (Header.Payload.Signature)
5
  3. 客户端保存 JWT，后续请求放在 Authorization: Bearer <token>
6
  4. 服务器收到请求 -> 验证签名 -> 解析 Payload 得到 user_id
7

8
  优点：无状态，服务器不需要存 session -> 适合分布式游戏服务器

1
同源策略：浏览器限制 JS 只能访问同协议+同域名+同端口的资源
2
跨域请求：前端 https://game.com 请求 https://api.game.com -> 跨域！
3

4
CORS（Cross-Origin Resource Sharing）：
5
  服务器在响应头中声明允许哪些源访问：
6
  Access-Control-Allow-Origin: https://game.com
7
  Access-Control-Allow-Methods: GET, POST
8
  Access-Control-Allow-Headers: Authorization, Content-Type
9

10
简单请求 vs 预检请求：
11
  简单请求（GET/POST + 常见 Content-Type）-> 直接发
12
  复杂请求（PUT/DELETE 或自定义 Header）-> 先发 OPTIONS 预检