本文详解 Apache HttpClient 5 中通过 RequestConfig 和自定义 RedirectStrategy 实现重定向时敏感请求头（如 Authorization、Cookie）的可控传递，避免默认策略自动丢弃敏感头导致认证失败。
本文详解 apache httpclient 5 中通过 `requestconfig` 和自定义 `redirectstrategy` 实现重定向时敏感请求头（如 `authorization`、`cookie`）的可控传递，避免默认策略自动丢弃敏感头导致认证失败。
在使用 Spring WebClient 底层集成 org.apache.hc.client5.http.impl.async.HttpAsyncClient（即 HttpClient 5）时，一个常见但易被忽视的问题是：默认重定向行为会主动移除所有“敏感”请求头（例如 Authorization、Proxy-Authorization、Cookie 等），以符合 RFC 7231 安全规范。这意味着即使你显式设置了 Authorization: Bearer xxx，一旦发生 302/307 重定向，该头将不会出现在重定向请求中，导致下游服务鉴权失败。
HttpClient 5 并未提供类似旧版 followRedirect(boolean, Consumer
✅ 正确配置方式（推荐）
首先，启用重定向并禁用默认敏感头过滤逻辑：
import org.apache.hc.client5.http.config.RequestConfig;
import org.apache.hc.client5.http.impl.async.HttpAsyncClientBuilder;
import org.apache.hc.client5.http.protocol.RedirectStrategy;
import org.apache.hc.client5.http.protocol.StandardRedirectStrategy;
import org.apache.hc.core5.http.HttpHost;
import org.apache.hc.core5.http.HttpRequest;
import org.apache.hc.core5.http.HttpResponse;
import org.apache.hc.core5.http.protocol.HttpContext;
import org.springframework.web.reactive.function.client.WebClient;
import org.springframework.http.client.reactive.HttpComponentsClientHttpConnector;
// 自定义 RedirectStrategy：允许在重定向中保留指定敏感头
RedirectStrategy customRedirectStrategy = new StandardRedirectStrategy() {
@Override
protected boolean isRedirectable(final String method) {
// 支持 GET/HEAD/POST 等常见方法的重定向（按需调整）
return super.isRedirectable(method) || "POST".equalsIgnoreCase(method);
}
@Override
public HttpHost determineTarget(final HttpRequest request, final HttpResponse response, final HttpContext context) {
return super.determineTarget(request, response, context);
}
};
// 构建 HttpClient 并注入配置
HttpAsyncClientBuilder clientBuilder = HttpAsyncClientBuilder.create();
RequestConfig requestConfig = RequestConfig.custom()
.setRedirectsEnabled(true) // 启用重定向
.setCircularRedirectsAllowed(false) // 禁止循环重定向
.build();
clientBuilder
.setDefaultRequestConfig(requestConfig)
.setRedirectStrategy(customRedirectStrategy); // 关键：替换默认策略
// 绑定到 Spring WebClient
ClientHttpConnector connector = new HttpComponentsClientHttpConnector(clientBuilder.build());
WebClient webClient = WebClient.builder()
.clientConnector(connector)
.build();⚠️ 注意：StandardRedirectStrategy 默认已保留 Cookie 头（若 HttpClientContext 中存在 CookieStore），但 Authorization 仍被强制清除。如需保留 Authorization，必须继承 StandardRedirectStrategy 并重写 getRedirect 方法，手动添加头：
@Override
public HttpUriRequest getRedirect(
final HttpRequest request,
final HttpResponse response,
final HttpContext context) throws ProtocolException {
final HttpUriRequest redirectRequest = super.getRedirect(request, response, context);
// 手动恢复 Authorization（仅当原始请求含此头且重定向目标为同源/可信域时建议）
final Header authHeader = request.getFirstHeader("Authorization");
if (authHeader != null && redirectRequest instanceof HttpUriRequestBase) {
((HttpUriRequestBase) redirectRequest).setHeader(authHeader);
}
return redirectRequest;
}? 安全提醒：谨慎转发敏感头
- RFC 合规性：自动转发 Authorization 违反 HTTP 重定向安全语义（重定向可能跳转至第三方不可信域）。生产环境应严格校验重定向目标域名白名单。
-
替代方案更安全：若业务允许，优先采用「关闭自动重定向 + 手动处理」模式：
RequestConfig noRedirectConfig = RequestConfig.custom() .setRedirectsEnabled(false) .build();然后在 onStatus 中捕获 3xx 响应，解析 Location，校验目标 URL，再构造新请求并有选择地复制必要头（如仅限同域 Authorization）。
✅ 总结
HttpClient 5 中控制重定向头转发的核心路径是：
1️⃣ 通过 RequestConfig.setRedirectsEnabled(true) 启用重定向；
2️⃣ 通过 HttpAsyncClientBuilder.setRedirectStrategy(...) 注入自定义策略；
3️⃣ 在自定义策略中覆盖 getRedirect()，按需保留敏感头；
4️⃣ 始终配合目标域校验与最小权限原则，避免安全泄露。
此方案兼顾灵活性与可控性，是 Spring WebClient + HttpClient 5 生产级重定向头管理的标准实践。
