HTTP

Ein Gespräch in Textform

Unter der Haube von Browser, REST-Client und curl sieht ein Austausch in HTTP/1.1 so aus – genau so, Zeichen für Zeichen, über eine TCP-Verbindung:

Eine Zeile mit Methode, Pfad und Version, dann Kopfzeilen (Header) als Name: Wert, dann eine Leerzeile, dann der Inhalt (Body). Der Host-Header sagt, welche Website gemeint ist – so können Tausende Domains auf einem Server mit einer IP-Adresse wohnen. Content-Type sagt, was im Body steckt, Content-Length, wie lang er ist – denn TCP kennt keine Nachrichtengrenzen.

Selbst eine Anfrage bauen

Hier ist eine kleine Bestell-API. Stell die Anfrage zusammen und schau, was der Server antwortet:

Methoden: sicher und idempotent

Die Methode sagt, was der Client vorhat. Zwei Eigenschaften sind dabei wichtiger, als sie klingen:

• Sicher heißt: Die Anfrage ändert nichts. Ein Crawler, ein Vorab-Laden im Browser oder ein Cache darf sie jederzeit ausführen.
• Idempotent heißt: Zweimal ausgeführt hat dieselbe Wirkung wie einmal. Das ist entscheidend bei Netzproblemen: Kam keine Antwort, darf man eine idempotente Anfrage gefahrlos wiederholen. Ein doppeltes POST dagegen legt womöglich zwei Bestellungen an.

Das sind Zusagen, keine Durchsetzung: Ein Server kann bei GET etwas löschen. Er sollte es nur nie tun – sonst räumt der nächste Suchmaschinen-Crawler die Datenbank leer.

Statuscodes

Die erste Ziffer sagt, wer gefragt ist: 2 – alles gut, 3 – woanders schauen, 4 – der Client hat etwas falsch gemacht, 5 – der Server hat ein Problem. Klick auf einen Code:

Zustandslos: Cookies und Tokens

Für den Server ist jede Anfrage eine neue Begegnung. Damit er wiedererkennt, wer fragt, muss der Client es bei jeder Anfrage mitschicken. Zwei Wege:

Caching

Das Schnellste ist eine Anfrage, die gar nicht erst gestellt wird. HTTP hat dafür zwei Mechanismen, beide im Baukasten oben zu sehen:

• Frische: Cache-Control: max-age=60 erlaubt jedem Cache, die Antwort 60 Sekunden lang ohne Rückfrage wiederzuverwenden. Für Dateien, die sich nie ändern – etwa app.3f9c2a.js mit dem Inhalt im Namen –, setzt man ein Jahr.
• Prüfung: Danach fragt der Client: „Ich habe Version "v7" – gibt es Neues?“ (If-None-Match). Ist nichts neu, antwortet der Server mit 304 Not Modified, ganz ohne Inhalt. Das ETag ist dabei ein Versionsstempel, den der Server frei wählt, etwa eine Prüfsumme.

HTTP/1.1, HTTP/2, HTTP/3

HTTP/1.1 von 1997 hat ein Problem: Auf einer Verbindung geht immer nur eine Anfrage zur Zeit. Browser öffnen deshalb bis zu sechs Verbindungen pro Server. HTTP/2 (2015) verpackt alles in binäre Rahmen und schickt beliebig viele Anfragen gleichzeitig über eine Verbindung. HTTP/3 (2022) macht dasselbe über QUIC. Eine Webseite mit zwölf kleinen Dateien:

Für Entwickler übersetzt

HttpClient client = HttpClient.newBuilder()
        .connectTimeout(Duration.ofSeconds(3))
        .version(HttpClient.Version.HTTP_2)        // fällt bei Bedarf auf 1.1 zurück
        .build();                                   // einmal bauen, wiederverwenden: hält Verbindungen offen

HttpRequest req = HttpRequest.newBuilder(URI.create("https://shop.example.com/api/bestellungen/42"))
        .header("Accept", "application/json")
        .timeout(Duration.ofSeconds(5))
        .GET()
        .build();

HttpResponse<String> res = client.send(req, HttpResponse.BodyHandlers.ofString());
if (res.statusCode() != 200) {                  // 404 oder 500 werfen KEINE Exception
    throw new IllegalStateException("HTTP " + res.statusCode());
}
System.out.println(res.version() + " " + res.headers().firstValue("etag").orElse("-"));

Häufige Irrtümer

Verwandte Begriffe