Java의 HttpURLConnection이 기본적으로 HTTP에서 HTTPS로의 리디렉션을 따르지 않는 이유는 무엇입니까?

HTTPURLConnection의 보안 리디렉션 문제

Java에서 HttpURLConnection은 HTTP에서 HTTPS URL로 전환하는 HTTP 리디렉션을 따를 때 어려움을 겪습니다. 특정 시나리오에서 관찰된 이 동작은 근본적인 원인을 이해하려는 개발자를 당황하게 했습니다.

문제를 설명하려면 다음 코드 조각을 고려하십시오.

import java.net.URL;
import java.net.HttpURLConnection;
import java.io.InputStream;

public class Tester {

    public static void main(String argv[]) throws Exception{
        InputStream is = null;

        try {
            String httpUrl = "http://httpstat.us/301";
            URL resourceUrl = new URL(httpUrl);
            HttpURLConnection conn = (HttpURLConnection)resourceUrl.openConnection();
            conn.setConnectTimeout(15000);
            conn.setReadTimeout(15000);
            conn.connect();
            is = conn.getInputStream();
            System.out.println("Original URL: "+httpUrl);
            System.out.println("Connected to: "+conn.getURL());
            System.out.println("HTTP response code received: "+conn.getResponseCode());
            System.out.println("HTTP response message received: "+conn.getResponseMessage());
       } finally {
            if (is != null) is.close();
        }
    }
}

이 프로그램을 초기 URL이 "http://httpstat.us/301"로 설정되어 있으면 출력에 Java의 HttpURLConnection이 다음으로의 리디렉션을 따르지 않는 것으로 나타납니다. "https://httpstat.us."

동작 이해

이 동작에 대한 설명은 Java가 리디렉션을 처리하는 방식에 있습니다. 기본적으로 리디렉션은 동일한 프로토콜을 사용하는 경우에만 수행됩니다. 이 제한 사항은 followRedirect() 메서드에서 구현됩니다.

HTTPS는 HTTP를 모방하지만 프로토콜 관점에서 HTTP와는 별개의 프로토콜로 간주된다는 점에 유의하는 것이 중요합니다. 결과적으로 Java에서는 HTTP에서 HTTPS로의 리디렉션을 따르려면 사용자 승인이 필요합니다. 이 예방 조치는 잠재적인 보안 문제를 방지하기 위해 필요합니다.

예를 들어 익명 검색에 HTTP를 사용하는 동안 클라이언트가 자동 클라이언트 인증으로 구성된 경우 명시적인 사용자 동의 없이 HTTPS 리디렉션을 따르면 클라이언트의 신원이 다음 대상에 노출됩니다. 서버입니다.

위 내용은 Java의 HttpURLConnection이 기본적으로 HTTP에서 HTTPS로의 리디렉션을 따르지 않는 이유는 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!