重定向POST请求时如何附加Authorization请求头？

1. 后端代理直接转发请求（替代重定向） #

放弃307重定向方案，改成后端直接对接第三方SSO接口：

• 前端向你的后端发送POST请求，携带Authorization头（JWT）和用户邮箱（或仅传JWT，后端从token解析用户邮箱）
• 后端先验证JWT有效性，通过后，用服务端身份（带上组织密钥查询参数）调用第三方的POST API
• 将第三方返回的HTML原封不动返回给前端

这种方式完全规避了浏览器重定向丢失请求头的问题，且组织密钥全程在后端流转，不会暴露给前端，安全性更有保障。

2. 优化前端表单提交方案 #

如果必须让前端直接和第三方交互，可通过后端生成临时凭证实现：

• 前端先向你的后端发起GET请求（携带JWT），后端验证后生成一个绑定用户邮箱、组织密钥的一次性临时token
• 后端返回一个自动提交的HTML表单，表单action设为第三方SSO API地址，method为POST，表单字段包含这个临时token
• 前端加载该HTML后自动提交表单，第三方验证token有效性后完成SSO流程

这种方式无需前端手动处理请求头，敏感信息也不会泄露。

关于“标记信任重定向目标”的说明 #

浏览器的安全机制是硬限制，没有办法手动标记某个重定向目标为信任以保留Authorization头。Authorization属于敏感请求头，浏览器仅会在同源请求或明确配置CORS允许的跨源请求中携带，重定向到第三方域名时会自动移除，这是不可绕过的安全设计。

排除不可行方案 #

• react-router重定向：属于前端路由跳转，本质是GET请求，无法携带POST参数和Authorization头到第三方服务
• 原生JS附加Authorization头：跨域场景下，若第三方未配置CORS允许携带该头，浏览器会直接拦截请求；即便配置了，重定向时仍会丢失该头

内容的提问来源于stack exchange，提问作者Daniel Shriki