Java HttpClient 怎样配置重定向策略

Java 11 引入的 java.net.http.HttpClient 默认采用 HttpClient.Redirect.NEVER，收到 301、302 或 307 时不会替你继续访问 Location。要开启自动重定向，应在构建客户端时调用 followRedirects；一般公共 GET 接口选择 NORMAL，需要严格禁止跨协议降级时保留 NEVER，只有明确接受所有重定向的场景才使用 ALWAYS。

官方地址：https://docs.oracle.com/en/java/javase/26/docs/api/java.net.http/java/net/http/HttpClient.Builder.html

先看默认行为：不配置就是 NEVER

HttpClient.newHttpClient() 能直接发送请求，但它的重定向策略是 NEVER。因此服务返回 301 时，响应对象仍然是这次请求的 301，程序需要自己读取 Location；不要把“拿到了响应”理解成“已经拿到了最终资源”。

import java.net.URI;
import java.net.http.HttpClient;
import java.net.http.HttpRequest;
import java.net.http.HttpResponse;

public class RedirectProbe {
    public static void main(String[] args) throws Exception {
        // 默认策略是 NEVER，用来观察服务端是否要求跳转。
        HttpClient client = HttpClient.newHttpClient();
        HttpRequest request = HttpRequest.newBuilder(URI.create("https://example.com/old"))
                // GET 不携带请求体，便于先检查 3xx 响应。
                .GET()
                .build();
        HttpResponse response = client.send(request, HttpResponse.BodyHandlers.discarding());
        // 只把状态码和 Location 打出来，不把 3xx 当成业务成功。
        System.out.println(response.statusCode());
        System.out.println(response.headers().firstValue("Location").orElse("没有 Location"));
    }
}

这段代码的价值在于先建立判断基线：如果业务必须审查跳转目标，NEVER 并不是“缺少配置”，而是一个主动的安全边界。

用 followRedirects 配置三种策略

策略属于 HttpClient，不是单个 HttpRequest。客户端建好后不能临时修改，所以建议按用途创建并复用客户端：

import java.net.URI;
import java.net.http.HttpClient;
import java.net.http.HttpRequest;
import java.net.http.HttpResponse;

public class RedirectClient {
    public static HttpResponse getWithRedirect(String url) throws Exception {
        // NORMAL 会自动跟随普通重定向，但拒绝 HTTPS 到 HTTP 的降级。
        HttpClient client = HttpClient.newBuilder()
                .followRedirects(HttpClient.Redirect.NORMAL)
                .build();
        HttpRequest request = HttpRequest.newBuilder(URI.create(url))
                .GET()
                .build();
        // 返回最终响应，调用方仍应检查最终状态码和 URI。
        return client.send(request, HttpResponse.BodyHandlers.ofString());
    }
}

三种取值可以这样记：

NORMAL 与 ALWAYS 的关键差别是协议降级

NORMAL 不是“只跟随一次”，而是带有协议边界的自动跟随策略。它允许常规重定向，但不会把 HTTPS 请求转去 HTTP；ALWAYS 则连这类降级也会跟随。后者可能让加密链路变成明文链路，因此不应为了“让 301 自动消失”而默认使用。

自动跟随后，仍然要把响应状态、最终 URI 和业务字段分开判断。对 API 客户端尤其要注意：重定向到登录页时，HTTP 层可能拿到 200，但业务层拿到的却是 HTML，而不是 JSON。

生产配置的检查清单

• 只读公共资源：优先使用 NORMAL，并在最终响应上检查 2xx 与内容类型。
• 携带 Cookie、Authorization 或签名：使用 NEVER，先解析并校验 Location 的主机、协议和路径。
• 必须使用 ALWAYS：确认服务端不会把 HTTPS 降级到 HTTP，并为跳转循环设置测试用例。
• 不要在每次请求中创建客户端：把策略、连接复用和超时配置放到一个可复用的客户端实例中。

重定向策略只解决“是否自动继续请求”，不会替你完成鉴权、跨域信任、请求体重放或业务成功判断。对于 POST、PUT 等带副作用操作，应先确认服务端的 3xx 语义，再决定是否允许自动跟随。

常见问题

为什么设置了 HttpClient.Redirect.NORMAL 仍然收到 301？

先确认实际发送请求的就是新建的这个客户端，而不是另一个默认客户端；再检查服务端是否返回了不被该策略接受的协议跳转。

HttpClient 能不能只对某一个请求开启重定向？

标准 API 的策略配置在 HttpClient.Builder 上。需要不同策略时，创建用途不同的客户端，而不是期待在 HttpRequest 上覆盖。

自动跟随后如何判断拿到的是最终地址？

读取 HttpResponse.uri()，同时检查最终状态码、响应头和业务内容；不要只依据 200 判断请求已经到达目标资源。