HTTPURLConnection nie podąża za przekierowaniem z HTTP na HTTPS

HttpURLConnection by design nie przekieruje automatycznie z HTTP do HTTPS (lub odwrotnie). Po przekierowaniu może mieć poważne konsekwencje dla bezpieczeństwa. SSL (stąd HTTPS) tworzy sesję, która jest unikalna dla użytkownika. Ta sesja może być ponownie wykorzystana do wielu żądań. W ten sposób serwer może śledzić wszystkie żądania złożone od jednej osoby. Jest to słaba forma tożsamości i nadaje się do wykorzystania. Ponadto, SSL handshake może poprosić o certyfikat klienta. W przypadku wysłania do serwera, następnie tożsamość klienta jest przekazywana serwerowi.

Jak wskazuje erickson , Załóżmy, że aplikacja jest skonfigurowana do automatycznego uwierzytelniania klienta. Użytkownik oczekuje, że surfuje anonimowo, ponieważ używa HTTP. Ale jeśli jego klient postępuje zgodnie z HTTPS bez pytania, jego tożsamość zostanie ujawniona serwerowi.

Programista musi podjąć dodatkowe kroki, aby upewnić się, że poświadczenia, certyfikaty klienta lub identyfikator sesji SSL nie zostaną wysłane przed przekierowaniem z HTTP do HTTPS. Domyślnie jest to wysyłanie tych. Jeśli przekierowanie boli użytkownika, nie podążaj za przekierowaniem. Dlatego automatyczne przekierowanie nie jest obsługiwane.

Z tym zrozumiałym, oto kod, który będzie podążał za przekierowaniami.

  URL resourceUrl, base, next;
  Map<String, Integer> visited;
  HttpURLConnection conn;
  String location;
  int times;

  ...
  visited = new HashMap<>();

  while (true)
  {
     times = visited.compute(url, (key, count) -> count == null ? 1 : count + 1);

     if (times > 3)
        throw new IOException("Stuck in redirect loop");

     resourceUrl = new URL(url);
     conn        = (HttpURLConnection) resourceUrl.openConnection();

     conn.setConnectTimeout(15000);
     conn.setReadTimeout(15000);
     conn.setInstanceFollowRedirects(false);   // Make the logic below easier to detect redirections
     conn.setRequestProperty("User-Agent", "Mozilla/5.0...");

     switch (conn.getResponseCode())
     {
        case HttpURLConnection.HTTP_MOVED_PERM:
        case HttpURLConnection.HTTP_MOVED_TEMP:
           location = conn.getHeaderField("Location");
           location = URLDecoder.decode(location, "UTF-8");
           base     = new URL(url);               
           next     = new URL(base, location);  // Deal with relative URLs
           url      = next.toExternalForm();
           continue;
     }

     break;
  }

  is = conn.openStream();
  ...

Czy może coś się nazywa HttpURLConnection.setFollowRedirects(false)?

conn.setInstanceFollowRedirects(true);

Jeśli chcesz się upewnić, że nie wpływasz na resztę zachowania aplikacji.

Jak wspomnieli niektórzy z was powyżej, setFollowRedirect i setInstanceFollowRedirects działają automatycznie tylko wtedy, gdy przekierowany protokół jest taki sam . ie od http do http i https do https.

SetFolloRedirect jest na poziomie klasy i ustawia to dla wszystkich instancji połączenia url, podczas gdy setInstanceFollowRedirects jest tylko dla danej instancji. W ten sposób możemy mieć różne zachowania dla różnych instancji.

Znalazłem tu bardzo dobry przykład http://www.mkyong.com/java/java-httpurlconnection-follow-redirect-example/

Inną opcją może być użycie Apache HttpComponents Client :

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
</dependency>

Przykładowy kod:

CloseableHttpClient httpclient = HttpClients.createDefault();
HttpGet httpget = new HttpGet("https://media-hearth.cursecdn.com/avatars/330/498/212.png");
CloseableHttpResponse response = httpclient.execute(httpget);
final HttpEntity entity = response.getEntity();
final InputStream is = entity.getContent();

HTTPUrlConnection nie odpowiada za obsługę odpowiedzi obiektu. Jest to wydajność zgodnie z oczekiwaniami, chwyta zawartość żądanego adresu URL. Do użytkownika funkcjonalności należy interpretacja odpowiedzi. Nie jest w stanie odczytać intencji dewelopera bez specyfikacji.