HTTPURLConnection不跟随从HTTP重定向到HTTPS

我不明白为什么Java HttpURLConnection不会遵循从HTTP到HTTPS URL的HTTP重定向。我使用以下代码在https://httpstat.us/上获取页面：

import java.net.URL;
import java.net.HttpURLConnection;
import java.io.InputStream;

public class Tester {

    public static void main(String argv[]) throws Exception{
        InputStream is = null;

        try {
            String httpUrl = "http://httpstat.us/301";
            URL resourceUrl = new URL(httpUrl);
            HttpURLConnection conn = (HttpURLConnection)resourceUrl.openConnection();
            conn.setConnectTimeout(15000);
            conn.setReadTimeout(15000);
            conn.connect();
            is = conn.getInputStream();
            System.out.println("Original URL: "+httpUrl);
            System.out.println("Connected to: "+conn.getURL());
            System.out.println("HTTP response code received: "+conn.getResponseCode());
            System.out.println("HTTP response message received: "+conn.getResponseMessage());
       } finally {
            if (is != null) is.close();
        }
    }
}

该程序的输出为：

原始网址：http：//httpstat.us/301
连接到：http://httpstat.us/301
收到的HTTP响应代码：301
收到HTTP响应消息：永久移动

对http://httpstat.us/301的请求返回以下（缩短的）响应（这似乎绝对正确！）：

HTTP/1.1 301 Moved Permanently
Cache-Control: private
Content-Length: 21
Content-Type: text/plain; charset=utf-8
Location: https://httpstat.us

不幸的是，Java HttpURLConnection不遵循重定向！

请注意，如果将原始URL更改为HTTPS（https://httpstat.us/301），Java 将按照预期进行重定向！

仅当重定向使用相同的协议时，才遵循重定向。（参见该followRedirect()方法源代码中。）无法禁用此检查。

即使我们知道它是HTTP的镜像，但从HTTP协议的角度来看，HTTPS还是其他完全不同的未知协议。未经用户批准而遵循重定向将是不安全的。

例如，假设将应用程序设置为自动执行客户端身份验证。用户期望匿名访问，因为他正在使用HTTP。但是，如果他的客户不经询问就遵循HTTPS，则他的身份将显示给服务器。

HttpURLConnection 设计使然不会自动从HTTP重定向到HTTPS（反之亦然）。重定向之后可能会造成严重的安全后果。SSL（因此为HTTPS）创建用户唯一的会话。该会话可以重用于多个请求。因此，服务器可以跟踪一个人发出的所有请求。这是一种较弱的身份形式，可以被利用。此外，SSL握手可以要求提供客户端的证书。如果发送到服务器，则将客户端的身份提供给服务器。

正如erickson指出的那样，假设该应用程序已设置为自动执行客户端身份验证。用户希望使用匿名登录，因为他正在使用HTTP。但是，如果他的客户不经询问就遵循HTTPS，则他的身份将显示给服务器。

从HTTP重定向到HTTPS之前，程序员必须采取额外的步骤来确保不会发送凭据，客户端证书或SSL会话ID。默认为发送这些。如果重定向对用户造成伤害，请不要遵循重定向。这就是为什么不支持自动重定向的原因。

有了这样的理解，下面是重定向之后的代码。

  URL resourceUrl, base, next;
  Map<String, Integer> visited;
  HttpURLConnection conn;
  String location;
  int times;

  ...
  visited = new HashMap<>();

  while (true)
  {
     times = visited.compute(url, (key, count) -> count == null ? 1 : count + 1);

     if (times > 3)
        throw new IOException("Stuck in redirect loop");

     resourceUrl = new URL(url);
     conn        = (HttpURLConnection) resourceUrl.openConnection();

     conn.setConnectTimeout(15000);
     conn.setReadTimeout(15000);
     conn.setInstanceFollowRedirects(false);   // Make the logic below easier to detect redirections
     conn.setRequestProperty("User-Agent", "Mozilla/5.0...");

     switch (conn.getResponseCode())
     {
        case HttpURLConnection.HTTP_MOVED_PERM:
        case HttpURLConnection.HTTP_MOVED_TEMP:
           location = conn.getHeaderField("Location");
           location = URLDecoder.decode(location, "UTF-8");
           base     = new URL(url);               
           next     = new URL(base, location);  // Deal with relative URLs
           url      = next.toExternalForm();
           continue;
     }

     break;
  }

  is = conn.openStream();
  ...

有东西叫 HttpURLConnection.setFollowRedirects(false)偶然的机会吗？

你总是可以打电话

conn.setInstanceFollowRedirects(true);

如果您想确保自己不影响应用程序的其他行为。

如上面的某些人所提到的，只有在重定向协议相同的情况下，setFollowRedirect和setInstanceFollowRedirects才自动工作。即从http到http和https到https。

setFolloRedirect在类级别，并为url连接的所有实例设置此值，而setInstanceFollowRedirects仅用于给定实例。这样，我们可以针对不同的实例具有不同的行为。

我在这里http://www.mkyong.com/java/java-httpurlconnection-follow-redirect-example/找到了一个很好的例子

另一个选择是使用Apache HttpComponents Client：

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
</dependency>

样例代码：

CloseableHttpClient httpclient = HttpClients.createDefault();
HttpGet httpget = new HttpGet("https://media-hearth.cursecdn.com/avatars/330/498/212.png");
CloseableHttpResponse response = httpclient.execute(httpget);
final HttpEntity entity = response.getEntity();
final InputStream is = entity.getContent();

HTTPUrlConnection不负责处理对象的响应。这是预期的性能，它可以获取所请求URL的内容。解释响应的功能取决于用户。没有规范就无法阅读开发者的意图。