java - OkHttp 是否在重定向时发送授权和其他可能敏感的 header ？

Question

我正在通过 Apache NiFi 传递性地使用 OkHttp。我正在尝试确定如何在重定向时处理授权和其他敏感 header 。 NiFi 的 InvokeHTTP 处理器与 OkHttp 在重定向方面的唯一交互是 here ，它读取处理器属性并在 OkHttpClientBuilder 对象上设置选项:

// Set whether to follow redirects
okHttpClientBuilder.followRedirects(context.getProperty(PROP_FOLLOW_REDIRECTS).asBoolean());

快速 搜索 OkHttp 的源代码，我似乎无法确定在何处处理重定向以验证是否从中剥离了 Authorization如我所料，随后的请求。 cURL 只是 recently adopted出于安全原因，该行为。

Answer 1

它发生在RetryAndFollowUpInterceptor .

// When redirecting across hosts, drop all authentication headers. This
// is potentially annoying to the application layer since they have no
// way to retain them.
if (!sameConnection(userResponse, url)) {
  requestBuilder.removeHeader("Authorization");
}