OkHttp 是否在重定向时发送授权和其他可能敏感的标头？

Question

我正在通过 Apache NiFi 传递使用 OkHttp。我正在尝试确定如何在重定向时处理 Authorization 和其他敏感标头。 NiFi 的 InvokeHTTP 处理器与 OkHttp 在重定向方面的唯一交互是here，它读取处理器属性并在 OkHttpClientBuilder 对象上设置选项：

// Set whether to follow redirects
okHttpClientBuilder.followRedirects(context.getProperty(PROP_FOLLOW_REDIRECTS).asBoolean());

快速搜索 OkHttp 的来源，我似乎无法确定处理重定向的位置以验证 Authorization 是否已从后续请求中剥离，因为我会期望。 cURL 只是 recently adopted 出于安全原因的行为。

Answer 1

它发生在RetryAndFollowUpInterceptor。

// When redirecting across hosts, drop all authentication headers. This
// is potentially annoying to the application layer since they have no
// way to retain them.
if (!sameConnection(userResponse, url)) {
  requestBuilder.removeHeader("Authorization");
}