Java HttpURLConnection添加Authorization请求头不生效问题

常见认知误区先澄清 #

• getRequestProperties()返回空不代表请求头未发送：JDK 8早期小版本（update 102之前）存在已知bug，在调用connect()前调用该方法只会返回空的属性快照，不能作为头是否设置成功的判断依据，建议通过JDK内置HTTP日志或抓包验证实际出站请求。
• 404状态码代表请求资源路径不存在，并非鉴权失败的典型响应（鉴权失败通常返回401/403），头配置正常后如果仍返回404，请优先核对请求URL拼写、路径、请求方法是否和服务端要求完全匹配。

可直接落地的修复方案 #

方案1：修正配置与代码写法（优先尝试） #

sun.net.http.allowRestrictedHeaders配置必须在HttpURLConnection类加载前生效，仅靠启动参数传递容易因为启动脚本、类加载顺序问题失效，建议按以下写法调整代码：

1. 在main方法最开头（所有网络逻辑执行前）设置系统属性，同时开启HTTP调试日志方便排查
2. 替换头设置方法，关闭自动重定向避免JDK主动丢弃敏感头

public static void main(String[] args) throws Exception{
    // 以下两行必须放在所有URL、HttpURLConnection初始化逻辑之前
    System.setProperty("sun.net.http.allowRestrictedHeaders", "true");
    // 开启HTTP调试日志，运行时会打印实际发出的所有请求头
    System.setProperty("sun.net.www.protocol.http.HttpURLConnection.level", "ALL");

    String token = "你的实际令牌值";
    final URL url = new URL("https://<service url>");
    final HttpURLConnection cnn = (HttpURLConnection) url.openConnection();
    cnn.setRequestMethod("GET");
    // 单值请求头用setRequestProperty，避免addRequestProperty追加多值导致服务端解析失败
    cnn.setRequestProperty("Authorization", "Bearer " + token);
    // 关闭自动重定向：JDK默认在3xx跳转时会主动丢弃Authorization等敏感头防止令牌泄露
    cnn.setInstanceFollowRedirects(false);

    cnn.connect();
    int status = cnn.getResponseCode();
    // 后续响应处理逻辑
}

额外注意事项：

• 检查代码中是否存在Authenticator.setDefault()全局认证器配置，该配置会覆盖手动设置的Authorization头，存在相关逻辑时请移除，或在认证器实现中自行填充令牌。
• 如果服务端存在3xx跳转，需要自行读取响应的Location头，手动创建新的请求并重新设置Authorization头，不要依赖自动重定向。

方案2：反射移除头限制（配置不生效时使用） #

如果你的JDK发行版有额外安全策略拦截系统属性配置，可以通过反射直接修改HttpURLConnection的受限头列表，从根源移除Authorization的拦截规则，该方法不需要配置JVM启动参数：

private static void unlockAuthorizationHeader() throws Exception {
    Field restrictedField = HttpURLConnection.class.getDeclaredField("restrictedHeaders");
    restrictedField.setAccessible(true);
    Set<String> restrictedHeaders = (Set<String>) restrictedField.get(null);
    restrictedHeaders.remove("authorization");
    restrictedField.setAccessible(false);
}

该方法同样需要在创建任何HttpURLConnection实例之前调用，调用后即可正常通过setRequestProperty设置Authorization头。

方案3：长期维护建议 #

JDK内置的HttpURLConnection存在大量隐式逻辑（头限制、重定向丢头、连接池管理僵化），如果项目后续有更多HTTP交互需求，建议替换为更稳定的HTTP客户端实现，比如OkHttp、Apache HttpClient，这类客户端没有内置的敏感头限制，设置Authorization头不需要任何额外配置，可维护性更强。 #

内容的提问来源于stack exchange，提问作者Marco S.