apache httpclient 在启用凭据提供器时会先发送一次无认证头的试探请求，若服务端返回 401（unauthorized），再重试并自动添加 basic authorization 头——这是其标准认证挑战机制导致的“两次请求”现象。
apache httpclient 在启用凭据提供器时会先发送一次无认证头的试探请求，若服务端返回 401（unauthorized），再重试并自动添加 basic authorization 头——这是其标准认证挑战机制导致的“两次请求”现象。
Apache HttpClient（4.5.x 及以上版本）默认采用质询-响应（Challenge-Response）式认证流程，而非直接在首请求中携带认证凭据。其核心逻辑位于 MainClientExec.execute() 方法中的循环重试机制：首次执行时，targetAuthState 状态为 UNCHALLENGED，因此 authenticator.generateAuthResponse() 不会注入 Authorization 请求头，HttpClient 直接发出一个“裸请求”；当服务器响应 401 Unauthorized 并返回 WWW-Authenticate 头时，状态切换为 CHALLENGED，HttpClient 检测到需认证（通过 needAuthentication(...) 判断），便消费响应体、清理连接、清除旧头，并在第二次循环中重新生成含 Authorization: Basic ... 的请求。
该行为符合 RFC 7235 规范，旨在避免在无需认证的场景下泄露凭据，提升安全性与兼容性。但对某些严格要求单次请求的后端（如幂等性敏感接口、日志审计系统或 Mock 服务），这种隐式重试会造成困扰。
✅ 推荐解决方案：绕过自动认证流程，手动设置 Authorization 头
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
// ✅ 正确做法：显式添加 Basic Auth 头，禁用 CredentialsProvider
RequestConfig requestConfig = RequestConfig.custom()
.setConnectTimeout(2000)
.setSocketTimeout(2000)
.build();
try (CloseableHttpClient httpClient = HttpClients.custom()
.setDefaultRequestConfig(requestConfig)
.build()) {
String reqString = mapper.writeValueAsString(obj);
StringEntity entity = new StringEntity(reqString, ContentType.APPLICATION_JSON);
HttpPost httpPost = new HttpPost(url);
httpPost.setHeader("Accept", "application/json");
httpPost.setHeader("Content-Type", "application/json");
// 手动构造 Basic 认证头（注意：使用 StandardCharsets.UTF_8 避免编码歧义）
String auth = "user:pass";
String encoded = Base64.getEncoder().encodeToString(auth.getBytes(StandardCharsets.UTF_8));
httpPost.setHeader("Authorization", "Basic " + encoded);
httpPost.setEntity(entity);
try (CloseableHttpResponse response = httpClient.execute(httpPost)) {
String responseBody = EntityUtils.toString(response.getEntity(), StandardCharsets.UTF_8);
int statusCode = response.getStatusLine().getStatusCode();
if (statusCode == 200) {
// 处理成功响应
} else {
// 处理错误（如 401/403，此时应检查凭证有效性而非重试）
throw new RuntimeException("HTTP " + statusCode + ": " + responseBody);
}
}
}
⚠️ 注意事项：
-
不要混用
CredentialsProvider与手动Authorization头：二者共存会导致不可预测行为（如重复认证、状态冲突）。 -
务必使用
Base64.getEncoder()（Java 8+）：避免依赖已废弃的org.apache.commons.codec.binary.Base64或sun.misc.BASE64Encoder。 -
确保
StringEntity指定字符集：显式传入ContentType.APPLICATION_JSON或ContentType.create("application/json", Consts.UTF_8)，防止中文乱码。 -
关闭连接复用（如需）：若服务端不支持连接复用，可追加
.setConnectionReuseStrategy(NoConnectionReuseStrategy.INSTANCE)。
? 进阶建议：
如需保留自动认证能力但控制重试逻辑，可通过自定义 AuthSchemeProvider 或配置 RequestConfig.setAuthenticationEnabled(false) 禁用全局认证，再按需启用。但对于简单 Basic Auth 场景，手动设头是最清晰、可控且零副作用的方式。
