jdk httpclient 在认证失败时默认重试 3 次并抛出 `ioexception: too many authentication attempts`，而非返回标准 401 响应；可通过系统属性 `jdk.httpclient.auth.retrylimit` 精确控制重试次数（包括设为 0 彻底禁用）。
Java 11+ 引入的 HttpClient 在启用 Authenticator 后，会对 401/407 响应自动触发认证重试逻辑——这并非用户代码主动发起的重试，而是内部 AuthenticationFilter 的默认行为。其设计初衷是配合凭证缓存机制（如 AuthInfo#retryWithCredentials() 所示），在首次认证失败后尝试使用已缓存或新提供的凭据重新协商。但当用户名/密码固定且错误时，重复提交无效凭证不仅无意义，还会掩盖真实 HTTP 状态码（如 401 Unauthorized），转而抛出误导性的 IOException。
要禁用该行为，必须在创建 HttpClient 实例前设置系统属性：
// ⚠️ 必须在 HttpClient 构建前调用！推荐在应用初始化早期设置
System.setProperty("jdk.httpclient.auth.retrylimit", "0");设置为 "0" 后，HttpClient 将完全跳过重试流程：首次收到 401 响应时，不再尝试二次认证，而是直接将原始响应交由用户处理。此时你将能捕获到真正的 HttpResponse 对象，并通过 response.statusCode() 准确判断认证失败（如 401），而非陷入异常堆栈：
HttpClient client = HttpClient.newBuilder()
.authenticator(new Authenticator() {
@Override
protected PasswordAuthentication getPasswordAuthentication() {
return new PasswordAuthentication("invalid-user", "wrong-pass".toCharArray());
}
})
.build();
HttpRequest request = HttpRequest.newBuilder()
.uri(URI.create("https://httpbin.org/basic-auth/user/pass"))
.GET()
.build();
try {
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());
int statusCode = response.statusCode();
if (statusCode == 401) {
System.out.println("❌ 认证失败：服务器明确返回 401 Unauthorized");
} else if (statusCode >= 200 && statusCode < 300) {
System.out.println("✅ 认证成功");
} else {
System.out.println("⚠️ 其他HTTP状态码: " + statusCode);
}
} catch (IOException | InterruptedException e) {
// 此处仅捕获网络层异常（如连接超时、DNS失败等），不再因认证失败抛出
System.err.println("? 网络异常: " + e.getMessage());
}✅ 关键注意事项：System.setProperty("jdk.httpclient.auth.retrylimit", "...") 是 JVM 级全局配置，影响所有后续创建的 HttpClient 实例，不可运行时动态修改；若需对不同请求差异化控制（如部分服务允许重试、部分禁止），应避免使用 Authenticator，改用手动添加 Authorization 头（如 Basic 或 Bearer）——这样完全绕过内置认证过滤器，获得 100% 可控的响应流；JDK 当前（截至 21）不支持 per-client 或 per-request 级别的重试限制配置，retrylimit 是唯一官方支持的开关。
综上，与其依赖易误解的自动重试机制，不如主动管理认证头——既符合 RESTful 原则，又能精准响应各类 HTTP 状态码，大幅提升调试效率与系统可观测性。
