HTTPURLConnection ne suit pas la redirection de HTTP vers HTTPS

Je ne comprends pas pourquoi Java HttpURLConnectionne suit pas une redirection HTTP d'un HTTP vers une URL HTTPS. J'utilise le code suivant pour obtenir la page à l' adresse https://httpstat.us/ :

import java.net.URL;
import java.net.HttpURLConnection;
import java.io.InputStream;

public class Tester {

    public static void main(String argv[]) throws Exception{
        InputStream is = null;

        try {
            String httpUrl = "http://httpstat.us/301";
            URL resourceUrl = new URL(httpUrl);
            HttpURLConnection conn = (HttpURLConnection)resourceUrl.openConnection();
            conn.setConnectTimeout(15000);
            conn.setReadTimeout(15000);
            conn.connect();
            is = conn.getInputStream();
            System.out.println("Original URL: "+httpUrl);
            System.out.println("Connected to: "+conn.getURL());
            System.out.println("HTTP response code received: "+conn.getResponseCode());
            System.out.println("HTTP response message received: "+conn.getResponseMessage());
       } finally {
            if (is != null) is.close();
        }
    }
}

Le résultat de ce programme est:

URL d'origine: http://httpstat.us/301
Connecté à: http://httpstat.us/301
Code de réponse HTTP reçu: 301
Message de réponse HTTP reçu: déplacé définitivement

Une requête à http://httpstat.us/301 renvoie la réponse (abrégée) suivante (qui semble tout à fait juste!):

HTTP/1.1 301 Moved Permanently
Cache-Control: private
Content-Length: 21
Content-Type: text/plain; charset=utf-8
Location: https://httpstat.us

Malheureusement, Java HttpURLConnectionne suit pas la redirection!

Notez que si vous modifiez l'URL d' origine HTTPS ( https://httpstat.us/301 ), Java va suivre la redirection comme prévu !?

Les redirections ne sont suivies que si elles utilisent le même protocole. (Voir la followRedirect()méthode dans la source.) Il n'y a aucun moyen de désactiver cette vérification.

Même si nous savons qu'il reflète HTTP, du point de vue du protocole HTTP, HTTPS n'est qu'un autre protocole complètement différent et inconnu. Il serait dangereux de suivre la redirection sans l'approbation de l'utilisateur.

Par exemple, supposons que l'application soit configurée pour effectuer automatiquement l'authentification client. L'utilisateur s'attend à surfer de manière anonyme car il utilise HTTP. Mais si son client suit HTTPS sans demander, son identité est révélée au serveur.

HttpURLConnection par conception ne redirigera pas automatiquement de HTTP vers HTTPS (ou vice versa). La suite de la redirection peut avoir de graves conséquences sur la sécurité. SSL (donc HTTPS) crée une session qui est unique à l'utilisateur. Cette session peut être réutilisée pour plusieurs demandes. Ainsi, le serveur peut suivre toutes les demandes faites par une seule personne. C'est une forme d'identité faible et exploitable. En outre, la négociation SSL peut demander le certificat du client. Si elle est envoyée au serveur, l'identité du client est donnée au serveur.

Comme le souligne erickson , supposons que l'application soit configurée pour effectuer automatiquement l'authentification client. L'utilisateur s'attend à surfer de manière anonyme car il utilise HTTP. Mais si son client suit HTTPS sans demander, son identité est révélée au serveur.

Le programmeur doit prendre des mesures supplémentaires pour s'assurer que les informations d'identification, les certificats clients ou l'identifiant de session SSL ne seront pas envoyés avant la redirection de HTTP vers HTTPS. La valeur par défaut est de les envoyer. Si la redirection blesse l'utilisateur, ne suivez pas la redirection. C'est pourquoi la redirection automatique n'est pas prise en charge.

Cela dit, voici le code qui suivra les redirections.

  URL resourceUrl, base, next;
  Map<String, Integer> visited;
  HttpURLConnection conn;
  String location;
  int times;

  ...
  visited = new HashMap<>();

  while (true)
  {
     times = visited.compute(url, (key, count) -> count == null ? 1 : count + 1);

     if (times > 3)
        throw new IOException("Stuck in redirect loop");

     resourceUrl = new URL(url);
     conn        = (HttpURLConnection) resourceUrl.openConnection();

     conn.setConnectTimeout(15000);
     conn.setReadTimeout(15000);
     conn.setInstanceFollowRedirects(false);   // Make the logic below easier to detect redirections
     conn.setRequestProperty("User-Agent", "Mozilla/5.0...");

     switch (conn.getResponseCode())
     {
        case HttpURLConnection.HTTP_MOVED_PERM:
        case HttpURLConnection.HTTP_MOVED_TEMP:
           location = conn.getHeaderField("Location");
           location = URLDecoder.decode(location, "UTF-8");
           base     = new URL(url);               
           next     = new URL(base, location);  // Deal with relative URLs
           url      = next.toExternalForm();
           continue;
     }

     break;
  }

  is = conn.openStream();
  ...

A quelque chose appelé HttpURLConnection.setFollowRedirects(false) par hasard?

Tu pourrais toujours appeler

conn.setInstanceFollowRedirects(true);

si vous voulez vous assurer de ne pas affecter le reste du comportement de l'application.

Comme mentionné par certains d'entre vous ci-dessus, les instructions setFollowRedirect et setInstanceFollowRedirect ne fonctionnent automatiquement que lorsque le protocole redirigé est le même. c'est-à-dire de http à http et https à https.

setFolloRedirect est au niveau de la classe et définit ceci pour toutes les instances de la connexion url, alors que setInstanceFollowRedirects est uniquement pour une instance donnée. De cette façon, nous pouvons avoir un comportement différent pour différentes instances.

J'ai trouvé un très bon exemple ici http://www.mkyong.com/java/java-httpurlconnection-follow-redirect-example/

Une autre option peut être d'utiliser Apache HttpComponents Client :

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
</dependency>

Exemple de code:

CloseableHttpClient httpclient = HttpClients.createDefault();
HttpGet httpget = new HttpGet("https://media-hearth.cursecdn.com/avatars/330/498/212.png");
CloseableHttpResponse response = httpclient.execute(httpget);
final HttpEntity entity = response.getEntity();
final InputStream is = entity.getContent();

HTTPUrlConnection n'est pas responsable de la gestion de la réponse de l'objet. C'est des performances comme prévu, il saisit le contenu de l'URL demandée. C'est à vous l'utilisateur de la fonctionnalité d'interpréter la réponse. Il n'est pas capable de lire les intentions du développeur sans spécification.