HTTP 301重定向陷阱：URL末尾斜杠引发的API请求失效问题-php教程-PHP中文网

HTTP 301重定向陷阱：URL末尾斜杠引发的API请求失效问题

当Android客户端调用/api/login接口时意外触发301重定向至/api/login/（带尾斜杠），导致POST数据丢失、鉴权失败——根本原因在于Web服务器对路径规范的强制重写，而非网络或代码逻辑错误。

当android客户端调用`/api/login`接口时意外触发301重定向至`/api/login/`（带尾slash），导致post数据丢失、鉴权失败——根本原因在于web服务器对路径规范的强制重写，而非网络或代码逻辑错误。

在REST API联调中，看似“相同”的URL可能因一个字符差异引发严重后果。你观察到的现象——https://global.mypanel.host/api/login 返回 301 → https://global.mypanel.host/api/login/ → 200 —— 并非偶然，而是典型的服务端路径规范化行为，但其副作用极易被忽视：HTTP 301重定向默认将原始POST请求降级为GET请求（依据RFC 7231），原始请求体（如{"username":"user","password":"pass"}）完全丢失，后端收到的是一个空载的GET请求，从而触发PHP Notice级报错（Undefined index: username），最终表现为“登录失败”或“参数为空”。

? 根本原因解析

该行为通常由以下任一配置引起：

Apache：启用 DirectorySlash On（默认开启），对非文件路径自动补尾斜杠并301跳转；
Nginx：配置了类似 rewrite ^(/api/login)$ $1/ permanent; 的重写规则；
PHP框架路由层（如Laravel、CodeIgniter）：启用严格模式后，将/api/login视为不规范路径，主动重定向至/api/login/。

关键点在于：301是永久重定向，浏览器/客户端会缓存该跳转规则，且绝大多数HTTP客户端（包括OkHttp、Retrofit）在收到301响应后，会遵循标准——对非GET/HEAD方法自动转为GET发起重定向请求，原始body被丢弃。

✅ 正确解决方案（按优先级排序）

1. 服务端修复：禁用不必要的重定向（推荐）

Apache用户：在.htaccess或虚拟主机配置中关闭自动补斜杠

DirectorySlash Off
# 同时确保该路径不被当作目录处理
<files>
    ForceType application/x-httpd-php
</files>

Nginx用户：移除或注释掉相关rewrite规则，并显式声明API路径不重定向

location /api/ {
    # 禁止对/api/login等路径做尾斜杠重写
    try_files $uri $uri/ /index.php?$query_string;
    # 若使用PHP-FPM，确保fastcgi_param SCRIPT_FILENAME正确
}

2. 客户端规避：统一使用带尾斜杠的URL（快速上线方案）

在Android代码中，将所有API调用地址显式修正为规范形式：

// Retrofit Base URL 应设为包含尾斜杠
val retrofit = Retrofit.Builder()
    .baseUrl("https://global.mypanel.host/api/") // 注意末尾的 '/'
    .addConverterFactory(GsonConverterFactory.create())
    .build()

// 对应接口定义
@POST("login/") // 也加斜杠，与baseUrl拼接为 /api/login/
suspend fun login(@Body credentials: LoginRequest): ApiResponse

⚠️ 注意：baseUrl和@POST值均需含斜杠，避免拼接出/api//login双斜杠。

3. 验证与调试技巧

使用curl绕过客户端缓存验证真实行为：

# 观察重定向链（-L跟随，-v显示详情）
curl -X POST -H "Content-Type: application/json" \
     -d '{"username":"user","password":"pass"}' \
     -v https://global.mypanel.host/api/login

若返回，即确认服务端重定向存在。

检查响应头中的Vary字段：若含Vary: User-Agent，需排查移动端特殊规则（如Nginx中基于UA的limit_except限制）。

? 关键注意事项

不要依赖前端拦截重定向：OkHttp的followRedirects(false)虽可阻止跳转，但会导致301响应直接暴露给业务层，需手动处理，增加复杂度且违背REST语义。
避免混淆405与301：本例中后端实际接收的是GET请求（因重定向降级），若/api/login/仅支持POST，则后续还会触发405错误——此时日志中将同时出现301和405，需分层排查。
生产环境务必禁用PHP错误显示：当前Notice报错暴露了服务器路径，存在安全风险，应在php.ini中设置display_errors = Off，并通过日志系统收集错误。