首页 > Golang > Go教程

Go http.Client CheckRedirect 怎么保留重定向链：请求复制、敏感头与最终响应验收

来源：17golang原创

时间：2026-08-30 11:05:43 175浏览收藏

线上接口明明返回了 200，业务却拿不到原始跳转地址，排查时往往只看到了最后一个 Response。Go 的 http.Client 默认会自动跟随重定向；要保留每一跳并控制敏感请求头，应把记录逻辑放进 CheckRedirect，同时自己决定是否继续跟随。

最稳妥的做法是：在 CheckRedirect 中复制当前请求需要的公开信息，记录 req.URL 和目标 URL；遇到跨主机跳转时不要照搬 Authorization 等敏感头，最终再结合 Response 与重定向链验收。

实践要点：

默认客户端只把最终响应交给调用方。
CheckRedirect 能观察每一跳并记录 req.URL。
返回 http.ErrUseLastResponse 可停在当前响应。
跨主机时应重新判断请求头和信任边界。

先复现“只看见最后一个 Response”的现场

假设入口地址 https://example.test/start 先跳到 https://cdn.example.test/login，再跳到 https://api.example.test/session。直接调用 client.Do(req) 时，代码通常只检查最后一次 Response.StatusCode，原始入口和中间目标就丢了。

client := &http.Client{}
resp, err := client.Do(req)
if err != nil {
    return err
}
defer resp.Body.Close()
fmt.Println(resp.StatusCode, resp.Request.URL)

这个结果并不代表客户端没有经历跳转，只是默认策略把过程隐藏了。第一个核对点是：不要把最终 Response.Request.URL 当成入口 URL；第二个核对点是：需要链路时必须在跳转发生的位置采集。

把 CheckRedirect 变成可验收的链路记录点

下面的示例只保存 URL、Host 和状态，不把完整请求头写入日志。CheckRedirect 的第二个参数是客户端准备发出的新请求，req.URL 就是当前这一跳的目标。

type RedirectHop struct {
    From string
    To   string
    Host string
}

var hops []RedirectHop
client := &http.Client{
    CheckRedirect: func(req *http.Request, via []*http.Request) error {
        from := ""
        if len(via) > 0 {
            from = via[len(via)-1].URL.String()
        }
        hops = append(hops, RedirectHop{
            From: from,
            To:   req.URL.String(),
            Host: req.URL.Host,
        })
        return nil
    },
}

这段代码的真实链路是 CheckRedirect 接到新请求，读取 req.URL，再把一跳写入 RedirectHop。第一跳没有前置请求时 From 为空，这是正常状态，不应为了补齐字符串而猜测入口。

Go http.Client 重定向链中 CheckRedirect、req.URL 与 Response 的调用和数据路径 — 图一：CheckRedirect 读取 req.URL，把每一跳写入 RedirectHop，最后结合 Response 完成链路验收。

跨主机时不要无条件复制敏感请求头

请求头处理是这类代码最容易留下隐患的地方。via 保存了已经走过的请求，req.Header 是当前准备发送的请求头；两者都不能被当成“可以原样跨域复制”的凭据仓库。

client := &http.Client{
    CheckRedirect: func(req *http.Request, via []*http.Request) error {
        if len(via) == 0 {
            return nil
        }
        previous := via[len(via)-1]
        if previous.URL.Host != req.URL.Host {
            req.Header.Del("Authorization")
            req.Header.Del("Cookie")
        }
        return nil
    },
}

这里的判断只解决“不要把敏感头带到不同 Host”这一层，是否允许跳转仍要结合业务白名单、HTTPS 要求和认证方式决定。不要把删除头部误写成通用安全保证；例如自定义签名头、代理头仍可能需要单独处理。

Go 重定向跨主机策略中 req.Header、CheckRedirect 与 Response 的状态变化 — 图二：跨主机时，CheckRedirect 根据 req.Header 中的 Authorization 做边界判断，再交给 Response 验证结果。

需要停在当前响应时返回 ErrUseLastResponse

如果目标只是检查入口是否跳转，或业务不信任目标站点，可以让客户端停止跟随。返回 http.ErrUseLastResponse 时，Do 会把当前响应交给调用方，响应体仍需关闭。

client := &http.Client{
    CheckRedirect: func(req *http.Request, via []*http.Request) error {
        if len(via) >= 1 {
            return http.ErrUseLastResponse
        }
        return nil
    },
}

如果返回的是普通错误，Do 会返回错误，并可能同时带上已经拿到的响应；调用方必须按文档语义处理，不要把“停止跟随”和“请求失败”混为一谈。只想观察完整链路时返回 nil，需要阻断时才用 ErrUseLastResponse。

用最终 Response 和链路一起做验收

验收至少看三件事：最终 Response.StatusCode 是否符合业务预期，Response.Request.URL 是否落在允许的 Host，hops 是否出现异常跨站或过长链路。

resp, err := client.Do(req)
if err != nil {
    return err
}
defer resp.Body.Close()

if resp.Request == nil || resp.Request.URL == nil {
    return errors.New("missing final request")
}
if resp.Request.URL.Host != "api.example.test" {
    return fmt.Errorf("unexpected final host: %s", resp.Request.URL.Host)
}
if resp.StatusCode != http.StatusOK {
    return fmt.Errorf("unexpected status: %s", resp.Status)
}

本地测试时可以用 httptest.NewServer 配置两个路径：/start 返回 302，/final 返回 200；然后断言 len(hops)、最终 URL 和状态码。测试的重点是验证策略，而不是依赖公网站点的临时跳转。