Go http.Client 如何限制重定向次数

服务端把地址连续跳转几次，Go 的 http.Client 到底会跟到哪里？如果不配置 CheckRedirect，标准库默认允许最多连续 10 次请求。需要更小的上限时，不要在外层循环猜次数，直接在回调里读取 via：它按最早到最近保存已经发出的请求，len(via) 就是当前准备继续跳转前的计数。

要限制最多跟随 3 次重定向，可以在 CheckRedirect 中判断 len(via) >= 3。达到上限后，返回普通错误表示请求失败；返回 http.ErrUseLastResponse 则表示停止继续请求，但把最后一次 3xx 响应交给调用方。

先把默认次数和 via 的含义数清楚

Client.CheckRedirect 会在准备跟随一次 HTTP 重定向前被调用，参数 req 是即将发送的请求，via 是此前已经发送的请求列表。列表按时间从旧到新排列，所以首次请求收到 3xx 时，len(via) 为 1；如果已经完成三次跳转，准备发出第四个地址前，长度就是 3。

这也解释了为什么标准库的默认实现使用 10 作为上限。它限制的是连续请求链，而不是把所有历史请求或不同请求之间共享的计数器相加。每次调用 Client.Do 都有自己的跳转链，适合直接把阈值写成一个局部策略。

用 CheckRedirect 实现最多跟随 3 次跳转

下面的策略把“最多跟随几次”单独做成参数。阈值为 3 时，第一次、第二次、第三次重定向分别在长度 1、2、3 的回调中被判断；长度达到 3 就不再发第四个请求。

package main

import (
    "fmt"       // 用于返回包含次数的可读错误
    "io"
    "net/http"
)

func clientWithRedirectLimit(maxRedirects int) *http.Client {
    return &http.Client{
        CheckRedirect: func(req *http.Request, via []*http.Request) error {
            // via 包含已经发出的请求；长度达到上限时拒绝下一跳。
            if len(via) >= maxRedirects {
                return fmt.Errorf("redirect limit reached: %d", maxRedirects)
            }
            return nil // nil 表示允许发送 req
        },
    }
}

func fetch(url string) error {
    client := clientWithRedirectLimit(3)
    resp, err := client.Get(url)
    if err != nil {
        // CheckRedirect 出错时返回的 Response 可能已关闭，直接处理错误。
        return err
    }
    defer resp.Body.Close() // 成功拿到最终响应后释放连接资源
    _, err = io.Copy(io.Discard, resp.Body)
    return err
}

这个版本适合“超过上限就让本次请求失败”的场景，例如抓取器要把重定向链当成异常记录。错误会被 net/url 包装成 *url.Error，日志里通常还能看到操作名和目标地址；不要只根据“不是 2xx”判断重定向失败，因为普通的非 2xx 状态本身不会自动变成 Do 错误。

返回错误，还是保留最后一次 3xx

如果业务要检查 Location、记录最后一个状态码，或者把跳转交给上层策略处理，就不应返回自定义错误，而应返回 http.ErrUseLastResponse。这是标准库识别的特殊值：客户端停止发送下一请求，同时把最近响应返回给调用方，且 err 为 nil。

func clientKeepingLastResponse(maxRedirects int) *http.Client {
    return &http.Client{
        CheckRedirect: func(req *http.Request, via []*http.Request) error {
            // 达到限制时保留当前 3xx，调用方可以读取 Location。
            if len(via) >= maxRedirects {
                return http.ErrUseLastResponse
            }
            return nil // 继续跟随尚未达到上限的跳转
        },
    }
}

func inspect(url string) (string, int, error) {
    resp, err := clientKeepingLastResponse(3).Get(url)
    if err != nil {
        return "", 0, err
    }
    defer resp.Body.Close() // ErrUseLastResponse 返回的 Body 仍需调用方关闭
    return resp.Header.Get("Location"), resp.StatusCode, nil
}

两种策略不要混用：普通错误更适合让重定向超限进入失败重试或告警链路；保留响应更适合需要查看 301、302、307 或 308 和 Location 的检查器。无论哪种策略，响应体的关闭责任都要写在最终拿到响应的分支里。

把次数限制和安全边界组合起来

只限制次数并不等于允许所有跳转。实际客户端还常常需要拒绝从 HTTPS 降到 HTTP，或不允许跳到不受信任的主机。可以先检查新请求的 URL，再检查次数；条件满足时返回自定义错误，最后一条规则仍然是“允许继续就返回 nil”。

func policy(maxRedirects int, allowedHost string) func(*http.Request, []*http.Request) error {
    return func(req *http.Request, via []*http.Request) error {
        // 次数限制先截断异常长链，避免策略被无限消耗。
        if len(via) >= maxRedirects {
            return fmt.Errorf("too many redirects")
        }
        // 只允许跳到业务明确认可的主机，避免把凭据带到陌生站点。
        if req.URL.Hostname() != allowedHost {
            return fmt.Errorf("redirect host is not allowed: %s", req.URL.Hostname())
        }
        return nil
    }
}

对于带请求体的 POST，还要注意状态码语义：301、302、303 通常会转成没有请求体的 GET，而 307、308 需要可重放的 GetBody 才能保留方法和请求体。次数上限解决的是链路长度，不会替你解决请求方法和数据重放问题。

常见问题

len(via) 应该和最大次数比较哪个符号？

如果目标是最多跟随 3 次，使用 len(via) >= 3。因为长度为 3 时前三个请求已经发出，再继续就是第四个请求。

返回普通错误后还要关闭 Response.Body 吗？

CheckRedirect 返回错误时，文档说明随错误返回的响应体已经关闭；调用方应优先处理错误，不要假设它还能读取正文。正常得到 resp 且 err == nil 时，仍要读取并关闭 resp.Body。

ErrUseLastResponse 会返回 nil error 吗？

会。它是标准库专门识别的特殊错误值，用来停止后续请求并保留最近响应；调用方仍必须关闭返回的响应体。

设置 Client.Timeout 能代替重定向次数限制吗？

不能。Timeout 限制的是包含连接、重定向和读取响应体在内的总时间，不能保证跳转次数；稳妥做法是同时配置时间上限和 CheckRedirect 策略。