La connexion HTTPURLC ne suit pas la redirection de HTTP à HTTPS

Question

Je n'arrive pas à comprendre pourquoi le programme Java HttpURLConnection ne suit pas une redirection HTTP d'une URL HTTP vers une URL HTTPS. J'utilise le code suivant pour obtenir la page à https://httpstat.us/ :

import java.net.URL;
import java.net.HttpURLConnection;
import java.io.InputStream;

public class Tester {

    public static void main(String argv[]) throws Exception{
        InputStream is = null;

        try {
            String httpUrl = "http://httpstat.us/301";
            URL resourceUrl = new URL(httpUrl);
            HttpURLConnection conn = (HttpURLConnection)resourceUrl.openConnection();
            conn.setConnectTimeout(15000);
            conn.setReadTimeout(15000);
            conn.connect();
            is = conn.getInputStream();
            System.out.println("Original URL: "+httpUrl);
            System.out.println("Connected to: "+conn.getURL());
            System.out.println("HTTP response code received: "+conn.getResponseCode());
            System.out.println("HTTP response message received: "+conn.getResponseMessage());
       } finally {
            if (is != null) is.close();
        }
    }
}

La sortie de ce programme est :

Original URL: http://httpstat.us/301
Connected to: http://httpstat.us/301
HTTP response code received: 301
HTTP response message received: Moved Permanently

Une demande de http://httpstat.us/301 renvoie la réponse (abrégée) suivante (qui semble tout à fait correcte !):

HTTP/1.1 301 Moved Permanently
Cache-Control: private
Content-Length: 21
Content-Type: text/plain; charset=utf-8
Location: https://httpstat.us

Malheureusement, le système de Java HttpURLConnection ne suit pas la redirection !

Notez que si vous changez l'URL d'origine en HTTPS ( https://httpstat.us/301 ), Java sera suivre la redirection comme prévu ! ?

Answer 1

Les redirections ne sont suivies que si elles utilisent le même protocole. (Voir le site followRedirect() méthode dans la source). Il n'y a aucun moyen de désactiver cette vérification.

Même si nous savons qu'il reflète HTTP, du point de vue du protocole HTTP, HTTPS n'est qu'un autre protocole inconnu, complètement différent. Il serait dangereux de suivre la redirection sans l'accord de l'utilisateur.

Par exemple, supposons que l'application soit configurée pour effectuer automatiquement l'authentification du client. L'utilisateur s'attend à surfer anonymement parce qu'il utilise HTTP. Mais si son client suit HTTPS sans le demander, son identité est révélée au serveur.

Answer 2

Il y a quelque chose qui s'appelle HttpURLConnection.setFollowRedirects(false) par hasard ?

Vous pouvez toujours appeler

conn.setInstanceFollowRedirects(true);

si vous voulez être sûr de ne pas affecter le reste du comportement de l'application.

Answer 3

Comme mentionné par certains d'entre vous ci-dessus, le setFollowRedirect et le setInstanceFollowRedirects ne fonctionnent automatiquement que lorsque le protocole redirigé est le même, c'est-à-dire de http à http et de https à https.

setFolloRedirect est au niveau de la classe et définit ceci pour toutes les instances de la connexion url, alors que setInstanceFollowRedirects est seulement pour une instance donnée. De cette façon, nous pouvons avoir un comportement différent pour différentes instances.

J'ai trouvé un très bon exemple ici http://www.mkyong.com/java/java-httpurlconnection-follow-redirect-example/

Answer 4

C'est la réponse correcte, mais vous devez récupérer le nouvel emplacement de la réponse et l'utiliser comme url.

Answer 5

HTTPUrlConnection n'est pas responsable de la gestion de la réponse de l'objet. Elle fonctionne comme prévu, elle saisit le contenu de l'URL demandée. C'est à vous, l'utilisateur de la fonctionnalité, d'interpréter la réponse. Il n'est pas en mesure de lire les intentions du développeur sans spécification.