HttpUrlConnection是否会审查某些标头，特别是Origin？

Question

我正在尝试为实现CORS的Web服务创建一些测试。因此，我需要发送Origin头。当我调用addRequestProperty("origin", origin)时，似乎服务器上并未出现Origin头。我说“似乎”——我有一个servlet迭代所有头文件并将它们打印出来，但Origin头并没有出现。HttpUrlConnection的Javadoc没有提到我见过的任何限制，但我可能已经跳过了关键句子。这是一个众所周知的限制吗？

- bmargulies

---

你在哪个Web服务器上运行你的Servlet？是否有代理或其他中间Web服务器？ - Christoffer Hammarström

你是设置'origin'还是'Origin'? - Gian

Answer 1

我发现了https://github.com/AdoptOpenJDK/openjdk-jdk8u/blob/master/jdk/src/share/classes/sun/net/www/protocol/http/HttpURLConnection.java#L189

作者聪明地决定禁止 Origin 和其他与CORS相关的头部，但实际上未实现CORS规范。这相当令人沮丧。

- bmargulies

---

看这段代码，你可以使用 sun.net.http.allowRestrictedHeaders 系统属性来启用设置这些标头。 - jtahlborn

是的，但前提是你必须在第一次连接之前设置它，并且永远不要更改它。幸运的是，Apache HttpClient是一个解决方案。 - bmargulies

提供的链接已经失效。以下是grepcode上相关行的更新链接，仅供参考。 - David V

看到CORS头被限制，真的让人感到沮丧。 - Rajas

Answer 2

不得不使用 Apache HTTP 客户端来使用 CORS 头。现在它按预期工作了。

- Rajas