HTTPURLConnection не відповідає перенаправленню з HTTP на HTTPS

Я не можу зрозуміти, чому Java HttpURLConnectionне виконує перенаправлення HTTP з HTTP на URL-адресу HTTPS. Я використовую такий код, щоб отримати сторінку https://httpstat.us/ :

import java.net.URL;
import java.net.HttpURLConnection;
import java.io.InputStream;

public class Tester {

    public static void main(String argv[]) throws Exception{
        InputStream is = null;

        try {
            String httpUrl = "http://httpstat.us/301";
            URL resourceUrl = new URL(httpUrl);
            HttpURLConnection conn = (HttpURLConnection)resourceUrl.openConnection();
            conn.setConnectTimeout(15000);
            conn.setReadTimeout(15000);
            conn.connect();
            is = conn.getInputStream();
            System.out.println("Original URL: "+httpUrl);
            System.out.println("Connected to: "+conn.getURL());
            System.out.println("HTTP response code received: "+conn.getResponseCode());
            System.out.println("HTTP response message received: "+conn.getResponseMessage());
       } finally {
            if (is != null) is.close();
        }
    }
}

Результатом роботи цієї програми є:

Оригінальна URL-адреса: http://httpstat.us/301
Підключено до: http://httpstat.us/301
Отримано код відповіді HTTP: 301
Отримано повідомлення відповіді HTTP: Переміщено назавжди

Запит на http://httpstat.us/301 повертає таку (скорочену) відповідь (що здається абсолютно правильним!):

HTTP/1.1 301 Moved Permanently
Cache-Control: private
Content-Length: 21
Content-Type: text/plain; charset=utf-8
Location: https://httpstat.us

На жаль, Java HttpURLConnectionне виконує переспрямування!

Зверніть увагу, що якщо ви зміните вихідну URL-адресу на HTTPS ( https://httpstat.us/301 ), Java буде слідувати за перенаправленням, як очікувалося !?

Переспрямування виконуються лише в тому випадку, якщо вони використовують той самий протокол. (Див . followRedirect()Метод у джерелі.) Неможливо відключити цю перевірку.

Хоча ми знаємо, що він відображає HTTP, з точки зору протоколу HTTP, HTTPS - це лише якийсь інший, зовсім інший, невідомий протокол. Було б небезпечно стежити за переспрямуванням без дозволу користувача.

Наприклад, припустимо, що програма налаштована на автоматичну автентифікацію клієнта. Користувач очікує анонімного серфінгу, оскільки він використовує HTTP. Але якщо його клієнт слідує HTTPS, не запитуючи, його особа розкривається серверу.

HttpURLConnection за проектом не буде автоматично перенаправляти з HTTP на HTTPS (або навпаки). Виконання переадресації може мати серйозні наслідки для безпеки. SSL (отже, HTTPS) створює сеанс, унікальний для користувача. Цей сеанс можна використовувати повторно для кількох запитів. Таким чином, сервер може відстежувати всі запити, зроблені від однієї особи. Це слабка форма ідентичності, яку можна використати. Крім того, при рукостисканні SSL можна попросити сертифікат клієнта. Якщо відправляється на сервер, то ідентифікація клієнта надається серверу.

Як зазначає Еріксон , припустимо, що програма налаштована на автоматичну автентифікацію клієнта. Користувач очікує анонімного серфінгу, оскільки він використовує HTTP. Але якщо його клієнт слідує HTTPS, не запитуючи, його особа розкривається серверу.

Програміст повинен вжити додаткових кроків, щоб переконатися, що облікові дані, сертифікати клієнта або ідентифікатор сеансу SSL не будуть надсилатися перед перенаправленням з HTTP на HTTPS. За замовчуванням вони надсилаються. Якщо переспрямування шкодить користувачеві, не слідкуйте за переспрямуванням. Ось чому автоматичне переспрямування не підтримується.

З розумінням, ось код, який буде слідувати за переспрямуваннями.

  URL resourceUrl, base, next;
  Map<String, Integer> visited;
  HttpURLConnection conn;
  String location;
  int times;

  ...
  visited = new HashMap<>();

  while (true)
  {
     times = visited.compute(url, (key, count) -> count == null ? 1 : count + 1);

     if (times > 3)
        throw new IOException("Stuck in redirect loop");

     resourceUrl = new URL(url);
     conn        = (HttpURLConnection) resourceUrl.openConnection();

     conn.setConnectTimeout(15000);
     conn.setReadTimeout(15000);
     conn.setInstanceFollowRedirects(false);   // Make the logic below easier to detect redirections
     conn.setRequestProperty("User-Agent", "Mozilla/5.0...");

     switch (conn.getResponseCode())
     {
        case HttpURLConnection.HTTP_MOVED_PERM:
        case HttpURLConnection.HTTP_MOVED_TEMP:
           location = conn.getHeaderField("Location");
           location = URLDecoder.decode(location, "UTF-8");
           base     = new URL(url);               
           next     = new URL(base, location);  // Deal with relative URLs
           url      = next.toExternalForm();
           continue;
     }

     break;
  }

  is = conn.openStream();
  ...

Чи HttpURLConnection.setFollowRedirects(false)випадково щось зателефонувало ?

Ви завжди можете зателефонувати

conn.setInstanceFollowRedirects(true);

якщо ви хочете переконатися, що не впливаєте на решту поведінки програми.

Як згадували деякі з вас вище, setFollowRedirect і setInstanceFollowRedirects працюють автоматично лише тоді, коли переспрямований протокол однаковий. тобто з http на http та https на https.

setFolloRedirect знаходиться на рівні класу і встановлює це для всіх екземплярів URL-з'єднання, тоді як setInstanceFollowRedirects - лише для даного екземпляра. Таким чином, ми можемо мати різну поведінку для різних випадків.

Я знайшов дуже хороший приклад тут http://www.mkyong.com/java/java-httpurlconnection-follow-redirect-example/

Іншим варіантом може бути використання клієнта Apache HttpComponents :

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
</dependency>

Приклад коду:

CloseableHttpClient httpclient = HttpClients.createDefault();
HttpGet httpget = new HttpGet("https://media-hearth.cursecdn.com/avatars/330/498/212.png");
CloseableHttpResponse response = httpclient.execute(httpget);
final HttpEntity entity = response.getEntity();
final InputStream is = entity.getContent();

HTTPUrlConnection не відповідає за обробку відповіді об'єкта. Це ефективність, як очікувалося, вона захоплює вміст запитуваної URL-адреси. Інтерпретувати відповідь залежить від вас, хто користується функціоналом. Він не може прочитати наміри розробника без вказівки.