Java HttpClient 重定向 POST 请求时为什么请求方法可能变化

Java HttpClient 遇到 3xx 并不一定会把原来的 POST 原样再发一遍：301 和 302 允许把 POST 改成 GET，303 本来就是让客户端对 Location 发起 GET 或 HEAD，而 307 和 308 才明确要求重定向时保持原请求方法。要避免误判，先看状态码，再看 followRedirects 策略，最后通过最终响应的 request()、uri() 和 previousResponse() 观察实际链路。

Java 官方资料：https://docs.oracle.com/en/java/javase/25/docs/api/java.net.http/java/net/http/HttpClient.Redirect.html

下面的域名、路径、响应和输出都是教学占位，不代表本次实际网络请求；示例重点是 API 之间的关系。

先分清 301/302、303 与 307/308

重定向不是一个统一动作。服务器在响应中给出 3xx 和 Location，客户端是否自动跟随、跟随后是否保留方法，要由状态码语义和客户端策略共同决定。

这里的“可能变成 GET”不是说每个服务端或每个客户端都会表现完全一样，而是 301/302 的语义允许这种历史兼容行为。Java 官方 API 直接说明：自动重定向时方法可能随 30X 状态码改变，并特别指出 301、302 会让 POST 转为 GET；HTTP 规范则把 307、308 定义为不改变方法的重定向。

Java HttpClient 为什么会把 POST 变成 GET

关键在于客户端是否被允许自动跟随。HttpClient.Builder.followRedirects 用于设置自动重定向策略；如果没有调用它，Java 25 API 文档说明默认策略是 NEVER，此时客户端会把 3xx 响应交回调用方，而不是替你创建下一次请求。

一旦选择自动跟随，客户端必须根据 3xx 语义生成后续请求。301/302 的历史行为允许 POST 转 GET，303 则要求客户端把 Location 看成另一个可读取资源。于是服务端日志可能看到第一次是 POST、第二次是 GET，这不一定是 Java 丢了请求，也可能正是状态码要求的语义。

// 这里只展示请求构造与响应字段，不执行真实网络请求。
URI endpoint = URI.create("https://api.example.test/submit");
HttpRequest request = HttpRequest.newBuilder(endpoint)
        // 教学用表单体；真实项目要确认体内容是否允许再次发送。
        .header("Content-Type", "application/x-www-form-urlencoded")
        .POST(HttpRequest.BodyPublishers.ofString("name=demo"))
        .build();

// 默认 NEVER：调用方可以自己检查 3xx，避免悄悄改变请求方法。
HttpClient manualClient = HttpClient.newBuilder()
        .followRedirects(HttpClient.Redirect.NEVER)
        .build();

在 NEVER 下，如果响应是 301、302 或 303，调用方可以读取状态码和 Location，结合业务决定下一步；这比把“提交动作”和“读取结果页”混成一次自动跳转更容易审计。

如何设置 followRedirects 并保留请求意图

NEVER、NORMAL、ALWAYS 不是“是否把 POST 变 GET”的三个开关，而是自动跟随的许可范围。NORMAL 会自动跟随，但不会从 HTTPS 跳到 HTTP；ALWAYS 更宽松；NEVER 完全交由调用方处理。

如果业务只是把表单提交后的结果跳到展示页，303 配合自动跟随通常更容易表达意图。如果业务必须把同一份 JSON 或文件体送到新的 URI，应让服务端使用 307/308，并确认客户端能够重新提供请求体。跨协议和跨域时，还要重新审视认证头、Cookie 和敏感字段，不能只根据“能否跟随”做决定。

// 用 NORMAL 允许常规重定向，但拒绝 HTTPS 到 HTTP 的降级跳转。
HttpClient client = HttpClient.newBuilder()
        .followRedirects(HttpClient.Redirect.NORMAL)
        .build();

// 发送 API 请求；响应的 request() 用来观察最后一跳实际使用的方法和 URI。
HttpResponse response = client.send(
        request,
        HttpResponse.BodyHandlers.ofString()
);
System.out.println(response.statusCode());
System.out.println(response.request().method());
System.out.println(response.uri());

示例中的打印是读者执行后可能观察的字段，不是本次文章生成时的运行日志。若方法从 POST 变成 GET，优先检查第一跳返回的状态码，而不是先修改请求体或循环重试。

怎样确认最终请求到底发成了什么

不要只看最终的 statusCode()。Java 的 HttpResponse.request() 返回与当前响应对应的请求；如果发生重定向，它的 URI 可能已经不同于最初请求。uri() 表示收到当前响应的 URI，previousResponse() 则可以回到中间响应，判断是否存在 3xx 或认证产生的前置响应。

// 从当前响应开始回溯中间响应，避免只记录最终状态。
HttpResponse current = response;
int hop = 0;
while (current != null) {
    // 每一层记录状态、URI 与对应请求方法，便于解释 POST 到 GET 的变化。
    System.out.printf("hop=%d status=%d method=%s uri=%s%n",
            hop,
            current.statusCode(),
            current.request().method(),
            current.uri());

    // previousResponse 为空代表没有更早的中间响应。
    current = current.previousResponse().orElse(null);
    hop++;
}

这段代码只读取响应对象，不代表要在业务中无限回溯；日志应限制长度，并避免把认证头、Cookie 或提交体写入普通日志。观察到中间 302、最终 GET，并不能单独说明服务端的业务是否正确，但能说明方法变化发生在重定向链上。

带请求体的 POST 该怎么处理

真正需要谨慎的是请求体不可重复的场景，例如上传流、一次性输入流或带副作用的支付/扣款请求。307/308 的“保留方法”并不等于客户端可以凭空复制请求体；调用方必须确保 BodyPublisher 能再次提供相同数据，并且业务允许第二次到达。

对可以重复读取的字符串或字节数组，代码结构可以把数据先保存在可复用对象中，再按业务决定是否创建下一跳请求；对一次性流，不要开启自动跟随后再猜测请求体是否已被消费。生产代码还应结合目标 URI、认证范围、幂等性键和服务端去重策略。

// 把可重复的字节保存下来，演示“可重建请求体”，不是自动重试授权。
byte[] payload = "{\"name\":\"demo\"}".getBytes(StandardCharsets.UTF_8);
HttpRequest first = HttpRequest.newBuilder(URI.create("https://api.example.test/items"))
        // JSON 请求体可由同一份字节重新创建；真实业务仍需确认幂等性。
        .header("Content-Type", "application/json")
        .POST(HttpRequest.BodyPublishers.ofByteArray(payload))
        .build();

// 对副作用请求先拿到 3xx，让业务决定是否、何时以及向哪里重建请求。
HttpClient controlled = HttpClient.newBuilder()
        .followRedirects(HttpClient.Redirect.NEVER)
        .build();

这里选择 NEVER 不是所有项目的固定答案，而是让副作用请求的下一跳具有显式决策点。若服务端明确返回 307/308，且请求体可复用、认证边界清楚、业务允许重试，再考虑由客户端或业务层实现保留方法的下一跳。

常见误区与排查清单

301 和 302 一定会把 POST 变成 GET 吗？

不应写成“一定”。Java 官方实现说明明确指出这两类状态码会把 POST 转成 GET，但规范保留了历史兼容语义；工程排查仍应以实际状态码、客户端策略和最终 request().method() 为准。

把 followRedirects 改成 ALWAYS 就能保留 POST 吗？

不能。ALWAYS 控制是否自动跟随，不改变 301/302/303 的方法语义。需要保留方法时，先确认服务端使用 307/308，再确认请求体、认证边界和副作用都允许重发。

怎么知道重定向后的地址？

从最终响应读取 uri() 和 request().uri()，并通过 previousResponse() 回溯中间响应。若关闭自动跟随，则直接读取当前 3xx 的 Location 头，由业务决定下一步。

参考资料：

Java API：https://docs.oracle.com/en/java/javase/25/docs/api/java.net.http/java/net/http/HttpClient.Redirect.html

Java API：https://docs.oracle.com/en/java/javase/25/docs/api/java.net.http/java/net/http/HttpClient.Builder.html

Java API：https://docs.oracle.com/en/java/javase/25/docs/api/java.net.http/java/net/http/HttpResponse.html

HTTP 规范：https://www.rfc-editor.org/rfc/rfc9110.html#name-redirection-3xx