重定向安全

Go 的 net/http.Client 会自动处理 301、302、303、307 和 308 重定向，但这不等于会把登录凭证无条件带到每个新地址。默认策略会把 Authorization 视为敏感请求头：目标域名与初始域名不是同域或子域关系时，下一跳不会继续携带它。

把“重定向成功”与“凭证应该继续发送”分开判断。只要重定向改变了可信边界，就在 CheckRedirect 中停止，而不是手动复制原来的 Authorization。

先看清 Authorization 会在哪一跳消失

假设请求从 api.example.com 跳到 login.example.com，两者仍属于同一主域的子域关系，Go 的默认客户端可能保留敏感头；如果跳到 other.example.net，默认策略会移除 Authorization。这项处理是为了避免凭证泄露，不是请求失败。

这里的“同域”不能只看页面是否能打开。要同时关注 scheme、host、端口和服务是否属于同一信任边界。开放重定向、被篡改的 Location，或者把用户输入直接拼进跳转地址，都不应靠自动跟随来兜底。

用 CheckRedirect 把跨源跳转挡在发送前

如果业务只允许同一来源内跳转，可以把策略写在客户端上。via 保存已经发出的请求，req 是即将发送的下一跳；比较当前请求与上一跳的 scheme 和 host，就能拒绝跨源跳转。

package main

import (
    "fmt"
    "net/http"
    "net/url"
)

// sameOrigin 只允许协议和主机都不变，避免凭证跨到另一来源。
func sameOrigin(a, b *url.URL) bool {
    return a != nil && b != nil &&
        a.Scheme == b.Scheme && a.Host == b.Host
}

func secureClient() *http.Client {
    return &http.Client{
        CheckRedirect: func(req *http.Request, via []*http.Request) error {
            // 第一跳没有上一条请求，交给默认流程；后续跳转才比较来源。
            if len(via) == 0 {
                return nil
            }
            previous := via[len(via)-1]
            if !sameOrigin(previous.URL, req.URL) {
                // 返回错误会阻止 req 被发送，避免把凭证带到新来源。
                return fmt.Errorf("拒绝跨源重定向: %s -> %s", previous.URL, req.URL)
            }
            return nil
        },
    }
}

这段策略比“发现跳转后再把 Authorization 塞回去”更安全：它只允许明确的同源链路，跨源场景交给上层重新认证或人工处理。若业务确实需要跨域跳转，应先确认目标是固定的受信服务，并为目标重新获取凭证，不要复用原始令牌。

阻止重定向后，响应和错误要怎么收尾

CheckRedirect 返回普通错误时，Client.Do 会返回一个包装后的 *url.Error，同时可能带有上一次响应。安全策略通常只关心错误原因，但代码仍应关闭不再使用的响应体。

resp, err := secureClient().Do(req)
if err != nil {
    // 中文注释：重定向策略错误可能带回最后一次响应，使用后要关闭 Body。
    if resp != nil && resp.Body != nil {
        resp.Body.Close()
    }
    return err
}
defer resp.Body.Close() // 中文注释：正常响应由调用方负责关闭资源。

如果只是想拿到 3xx 响应而不跟随，可以在策略中返回 http.ErrUseLastResponse。它会让客户端停止发送下一跳，并返回最近一次响应；此时响应体不会自动关闭，仍由调用方负责关闭。不要把普通错误和 ErrUseLastResponse 当成同一种控制语义。

一张表决定是否允许自动跟随

常见问题

为什么重定向后服务端说未登录？

常见原因是目标已跨到不可信域名，Go 有意没有转发 Authorization。先记录每一跳的 URL 和状态码，再决定是停止跳转还是为目标服务重新认证。

设置 CheckRedirect 后还要自己复制 Header 吗？

不建议。先用来源策略限制跳转；只有在明确的同源业务规则下才允许客户端按默认机制处理敏感头，避免用手工复制绕过安全边界。

参考：https://pkg.go.dev/net/http#Client；Go 标准库源码：https://go.dev/src/net/http/client.go。