Ensures HTTP clients reject re…

# OkHttp 禁止重定向配置指南（支付安全场景）

一、核心配置：关闭自动重定向

OkHttp 客户端构建时通过 followRedirects(false) 实现：

```java

OkHttpClient client = new OkHttpClient.Builder()

.followRedirects(false) // 禁止自动跟随重定向

.followSslRedirects(false) // 禁止 HTTPS↔HTTP 间的重定向

.connectTimeout(10, TimeUnit.SECONDS)

.readTimeout(30, TimeUnit.SECONDS)

.build();

```

两个方法的区别：

• followRedirects(false)：禁止所有 3xx 重定向（301/302/303/307/308）
• followSslRedirects(false)：单独控制 HTTPS 与 HTTP 之间的协议降级/升级重定向

建议两个都关，支付场景不要留任何重定向通道。

二、手动处理 3xx 响应（可选）

关闭自动重定向后，第三方若返回 301/302，response 的 code 就是 3xx，需自行决定是否跟进：

```java

try (Response response = client.newCall(request).execute()) {

if (response.isRedirect()) { // 3xx 判断

// 记录 Location 头并告警，切勿携带 Authorization 头重新请求

String location = response.header("Location");

log.warn("收到重定向: {}", location);

throw new SecurityException("第三方接口返回重定向，拒绝携带凭证跟进");

}

// 正常处理业务响应...

}

```

注意：即使手动跟进，也要构造新 Request 并显式剥离或重新评估 Authorization 头，确认目标域名在白名单内再携带凭证。

三、补充安全加固建议

• HTTPS 校验：确保请求全部走 HTTPS；不要为了兼容自签证书而关闭证书校验（如裸 trustAllCerts），否则禁止重定向也无意义
• 域名白名单：对最终请求 URL 做域名校验，防止解析到非预期主机
• 凭证最小化：Authorization 头建议每次请求动态注入，而非长期持有在全局对象中
• 日志脱敏：打印请求日志时过滤 Authorization 头

四、验证方法

用本地或测试地址返回 302 的接口实测，确认 response.code() == 302 且 OkHttp 未自动发起第二次请求，即配置生效。