HTTP、URL、方法、Header、Cookie 与状态码
读懂最常见的 Web 通信协议。
- 用自己的话解释“HTTP、URL、方法、Header、Cookie 与状态码”及其核心术语。
- 在真实 AI 产品场景中识别何时应该使用本课方法。
- 完成一份可沉淀进“系统关系图、一次 API 调用与基础 SQL 练习”阶段任务的实践产出。
REAL SCENE
先从一个真实场景开始
同一个“保存失败”，可能是地址错误、未登录、参数不合法、资源不存在、冲突、限流或服务器故障。若 PRD 只写“调用接口并展示结果”，前端无法设计恢复，测试也不知道哪些状态必须覆盖。HTTP 是跨角色共同描述请求的基础语言。
PLAIN EXPLANATION
说人话：它到底是什么？
URL 标识要访问的资源位置，HTTP 方法表达读取、新建、修改或删除意图；Header 携带内容类型、身份和追踪信息，Cookie 是浏览器保存并按规则随请求发送的小数据。状态码按类别说明请求结果：2xx 成功、3xx 跳转、4xx 是当前请求无法满足、5xx 是服务端失败。产品经理要结合业务错误码和用户动作理解它们，不能只背数字。
URL 与方法语义
URL 由协议、主机、路径、查询等组成，路径定位资源，查询用于筛选或分页。GET 应只读取，POST 常用于创建或执行，PUT/PATCH 更新，DELETE 删除；是否安全、是否幂等会影响重试策略。
- 敏感信息不放查询参数
- 读操作不产生隐藏副作用
- 可重试写操作需要幂等设计
Header 与 Cookie
Content-Type 告诉双方数据格式，Authorization 携带访问凭证，请求标识用于追踪。Cookie 可以保存会话标识，但必须限制作用域、加密传输并防止脚本窃取或跨站滥用。
- 只传业务所需最少头信息
- 日志隐藏认证与个人数据
- 跨域与缓存策略需要明确
状态码与恢复
状态码是协议层分类，业务错误码进一步说明原因。401 通常需重新认证，403 是身份存在但无权限，404 是资源不存在，409 是状态冲突，429 是请求过多。错误模型还要告诉用户能否重试。
- 4xx 不等于都是用户犯错
- 5xx 需要服务端告警与追踪
- 错误文案映射到下一步动作
方法表达意图，状态码表达结果类别，业务码表达具体原因。
凭证和敏感数据按最小化原则传输、存储与记录。
每种失败都要映射到可理解、可执行的恢复策略。
KEY POINT
这节课最重要的结论
- 为什么重要
- 这决定了听懂工程语言、阅读接口和数据库方案，并判断技术取舍时，团队是否拥有一致、可验证的判断标准。
- 适用边界
- 当问题目标、数据来源或失败成本发生变化时，不要机械套用；先重新确认假设和风险等级。
EXAMPLES
正确案例与常见反例
更新课程进度使用 PATCH，携带受保护 Token 和 requestId；成功返回 200 与最新版本。旧版本提交返回 409 并提示刷新合并，未登录返回 401 引导登录，无权限返回 403 说明申请方式，限流 429 返回可重试时间。
所有操作都用 GET，并把访问令牌放在 URL。无论参数错误、权限不足还是服务器异常都返回 200 与 success=false；前端只能解析文案猜原因，浏览器历史和日志还永久记录了敏感令牌。
“接口请按资源语义选择方法，并用 HTTP 状态码加稳定业务码返回。401、403、409、429 和 5xx 分开；响应含用户可公开信息、retryable 与 requestId，日志必须遮蔽 Authorization、Cookie 和个人数据。”
HANDS-ON
必做实操任务
本节产出：“系统关系图、一次 API 调用与基础 SQL 练习”阶段任务中的《HTTP、URL、方法、Header、Cookie 与状态码》一页实践卡
步骤 1用开发者工具记录一个请求的 URL、方法、Header、状态码和耗时。
步骤 2把课程收藏、查询、更新和删除分别映射到合适 HTTP 方法并解释。
步骤 3为 400、401、403、404、409、429、500 设计业务提示与恢复动作。
步骤 4审计一个接口示例，找出 URL、Header 或日志中的敏感信息风险。
核心重点必须完成全部实践，并在测验中达到 80%，才能标记为掌握。
用户动作：____
URL：协议____ 主机____ 路径____ 查询____
方法：GET / POST / PUT / PATCH / DELETE 原因：____
请求 Header：Content-Type____ Authorization____ requestId____
请求体：____
成功状态与响应：____
错误｜HTTP 状态｜业务码｜用户提示｜是否重试｜监控：
参数错误：____
未登录：____
无权限：____
冲突：____
限流：____
服务失败：____
敏感信息处理：____CHECKLIST
产品经理工作检查表
MASTERY QUIZ
掌握测验
核心重点需达到 80% 才算掌握，未通过会进入错题本。
INTERVIEW
常见面试题
展开参考回答
先按 URL 和方法明确操作意图，再用 HTTP 状态码区分成功、认证、授权、资源、冲突、限流和服务失败；用稳定业务码、公开信息、retryable、requestId 补足具体原因。前端为每类错误设计提示与恢复，服务端配置监控，并确保令牌和个人数据不进入 URL 或日志。
RECAP & FURTHER READING
重点回顾、延伸阅读与下一步
- 1
围绕“HTTP、URL、方法、Header、Cookie 与状态码”继续阅读：查阅对应技术的官方入门文档，重点核对输入输出、失败方式、权限边界与可观测性。
- 2
用“HTTP、Header、状态码”作为检索词，分别写下一条定义、一条适用边界和一个反例。
- 3
对照本课正确案例与反例，寻找一个公开案例并记录其中可复用的判断与不能照搬的条件。