Go HTTP Client 禁止自动重定向时怎么保留原始响应

Go 的 http.Client 默认会跟随常见的 301、302、303、307、308 重定向。如果你要检查原始状态码、读取服务端返回的 Location，或避免请求被带到不可信主机，最小做法是在 CheckRedirect 中返回 http.ErrUseLastResponse。这样 Do 返回最近一次 3xx 响应，err 为 nil，但响应体仍由调用方负责关闭。

用 ErrUseLastResponse 把原始 3xx 留在手里

把策略挂在 Client 上即可。回调里的 req 是准备发送的下一跳请求，via 是已经走过的请求链；返回哨兵值后，下一跳不会发出，最近一次响应会原样交回。

package main

import (
    "fmt"
    "io"
    "net/http"
)

func main() {
    client := &http.Client{
        CheckRedirect: func(req *http.Request, via []*http.Request) error {
            // 返回哨兵值：保留最近一次 3xx，不发送 req。
            return http.ErrUseLastResponse
        },
    }

    req, err := http.NewRequest(http.MethodGet, "https://example.com/start", nil)
    if err != nil {
        panic(err)
    }
    req.Header.Set("Accept", "application/json") // 这是请求头，不是响应头。

    resp, err := client.Do(req)
    if err != nil {
        panic(err)
    }
    defer resp.Body.Close() // ErrUseLastResponse 返回的 body 未关闭。

    body, err := io.ReadAll(resp.Body)
    if err != nil {
        panic(err)
    }
    fmt.Println(resp.StatusCode, resp.Header.Get("Location"), string(body))
}

这段代码的重点不是打印结果，而是返回值契约：重定向响应仍在 resp 中，Location 从 resp.Header 读取，诊断正文从 resp.Body 读取，最后正常关闭 body。

请求头和错误返回不要混为一谈

“保留原始响应”不等于“保留所有请求头”。req.Header 属于即将发出的请求，resp.Header 属于服务端返回的响应。客户端准备下一跳时会复制一部分请求头；跨主机跳转时，Authorization 等敏感头默认有额外保护，不应把它当成跨域传递的保证。

如果回调返回普通错误，语义就不同：客户端通常会返回一个包装后的 *url.Error，而此前响应体已经关闭。此时不能把“有一个非 nil 的 Response”理解为仍然可以读取正文。只有明确返回 http.ErrUseLastResponse，才是“保留最近响应并让错误为 nil”的特殊分支。

把放行条件写成可复查的策略

如果不是完全禁止跳转，可以在回调中检查 req.URL 和 via，可信目标返回 nil，不可信目标返回 http.ErrUseLastResponse。这里的白名单应按协议、主机和端口明确比较，不能只判断字符串前缀。

CheckRedirect: func(req *http.Request, via []*http.Request) error {
    // 只允许 HTTPS 且主机固定，其他目标停在当前响应。
    if req.URL.Scheme != "https" || req.URL.Hostname() != "api.example.com" {
        return http.ErrUseLastResponse
    }
    return nil // 可信目标才继续跟随。
},

复查时依次确认：是否读取了原始 Location、是否记录了状态码和跳转链、是否关闭了返回的 body、是否把敏感请求头误当成响应头、是否为允许的主机设置了明确规则。对登录跳转、跨域回调和文件下载，最好把这份策略放在专用 Client 上，不要覆盖全局共享客户端。

常见问题

返回 ErrUseLastResponse 后还需要关闭 Body 吗？

需要。这个特殊返回值会把 body 以未关闭状态交给调用方，读取完成后使用 defer resp.Body.Close()。

能不能在 CheckRedirect 中返回 errors.New？

可以阻止下一跳，但它属于普通错误分支，响应体通常已关闭；如果目标是读取原始 3xx，就应返回 http.ErrUseLastResponse。

Location 是请求头还是响应头？

这里的重定向目标是服务端返回的响应头字段，应从 resp.Header 读取，而不是从原始请求的 Header 读取。

Go 官方 net/http 文档和Client 源码都把这两个返回分支区分得很清楚：先选择正确的 CheckRedirect 语义，再处理 body 和请求头，重定向排查就不会把“停止发送”“返回错误”“保留响应”混成一件事。