分析：HTTP/3协议已经获得了RFC 9114标准化，这对互联网安全性是一个促进，但对Web开发者来说并非没有障碍。
本周，互联网工程任务组（IETF）发布了HTTP/3，作为RFC 9114发布。
HTTP协议是网络的支柱。超文本传输协议（HTTP）作为一个应用层，促进服务器和浏览器之间的通信，获取资源和传输数据。HTTPS是通过加密实现额外的安全的HTTP。
HTTP/3背景：关于下一代网络协议你需要知道的一切
HTTP/3是HTTP协议的最新修订版，取代了2015年的HTTP/2。HTTP/3旨在解决HTTP/2中固有的一些性能问题，改善用户体验，减少数据包丢失的影响，而不需要线头阻塞，加快握手要求，并默认启用加密功能。
该协议利用用户数据报协议（UDP）上的空间拥堵控制。
QUIC步骤
HTTP/3的主要区别之一是QUIC。由谷歌开发的快速UDP互联网连接（QUIC）被IETF采用，量身定制的版本提供了HTTP/3的基石。
正如Cloudflare所指出的，实施QUIC默认情况下会在传输层设置了加密连接，将握手合并为一个动作，并加密连接之间交换的元数据进行加密。
因此，数据包号码和头信息会被移除，不被窃听者和攻击者发现。这一改进可能潜在地降低中间操纵者（MitM）攻击、IP欺骗和拒绝服务攻击的成功率。
“这项功能没有包括在HTTP/2中，”Cloudflare指出，“对这些数据进行加密，有助于将有关用户行为的可操作信息从攻击者手中排除。”
传输层的加密并不是故事的终点。Akamai表示，由于HTTP/3在QUIC上运行，这也为未来加密传输和通信的创新铺平了道路——正如我们已经看到的QUIC数据报扩展（RFC 9221），这是一项安全管理UDP和TCP流量的技术。
此外，该协议支持TLS 1.3中引入的零往返时间（0-RTT），它跳过了受信任设置中的握手要求——但缺点是这可能导致没有足够保护的重放攻击。
具有挑战性的前景
Cloudflare的产品总监Rustam Lalkaka曾透露，虽然HTTP/3有一系列的安全和性能优势，但由于许多广泛使用的技术尚未增加对QUIC和HTTP/3的支持，因此启用QUIC对开发者来说可能是一个挑战。
一些中转供应商和ISP可能对UDP流量有敌意，而且在实施HTTP/3时还可能需要增加CPU的使用率，这对服务器和Web浏览器都是不利的。
对HTTP/3的支持已经在主要的浏览器中逐步展开，包括Google Chrome、Mozilla Firefox和Microsoft Edge。Apple Safari浏览器也提供了支持，但在撰写本文时，必须在开发者菜单的“实验功能 ”选项卡中启用此功能。
Cloudflare扫描显示，大多数在线流量是由HTTP/2促成的。目前大部分的HTTP/3请求是由Chrome用户发出的，其次是Edge和Firefox。Safari的流量极少，但Cloudflare预计，一旦Apple默认启用HTTP/3支持，流量将会上升。
Cloudflare Radar估计，8%的互联网流量是基于HTTP/1的，其次是HTTP/2占67%，HTTP/3占25%。
---煤油灯科技victorlamp.com翻译整理---
