拓冰网站定制 
curl--location-L重定向跟随完全指南从命令行参数到 libcurl 源码实现【免费下载链接】curlA command line tool and library for transferring data with URL syntax, supporting DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, MQTT, MQTTS, POP3, POP3S, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET, TFTP, WS and WSS. libcurl offers a myriad of powerful features项目地址: https://gitcode.com/GitHub_Trending/cu/curl--location短选项-L是 curl 命令行工具中用于自动跟随 HTTP 重定向3XX Location:响应头的核心开关它决定了 curl 是原地报错退出还是顺着服务器指引重新发出请求、最终取回真实内容。本文以 docs/cmdline-opts/location.md 为主线结合本仓库 src/命令行工具与 lib/libcurl 库中的实际实现代码系统讲解-L的用法、跨主机凭据隔离策略、POST 到 GET 的降级规则、重定向次数上限与协议白名单等完整行为帮助你安全、精确地驾驭 curl 的重定向能力。--location/-L选项总览curl 的选项元数据统一维护在 docs/cmdline-opts/ 目录下每个.md文件头部即记录了该选项的权威定义。--location的元数据如下属性值长选项--location短选项-L功能描述Follow redirects跟随重定向适用协议HTTP所属分类http可多次指定否布尔开关重复指定无额外效果它的行为定义见 docs/cmdline-opts/location.md可以概括为一句核心语义若服务器以Location:响应头配合 3XX 状态码告知“所请求的页面已迁移到新地址”该选项会让 curl 对新地址重新发起请求。最简单的用法curl -L https://example.com/redirect-me # 等价写法 curl --location https://example.com/redirect-me-L是典型的布尔型“单开关”选项不接收参数值。在配置文件中同样可以写入location来启用它。curl 如何识别并处理一次重定向底层解析Location:响应头并记录新地址在 libcurl 的 HTTP 实现 lib/http.c 中响应头解析器按首字母分派Location:头部由http_header_l()处理。该函数见 lib/http.c#L3417-L3456的完整逻辑是提取Location:的头部值保存到data-req.location忽略空值以及与前一次完全相同的重复值防止死循环内重复解析若同时收到多个不相同的Location:头直接以CURLE_WEIRD_SERVER_REPLY报错终止当本次响应的状态码落在 300–399 之间且http_follow_mode被启用即用户打开了跟随开关时把该地址克隆为data-req.newurl并把data-state.this_is_a_follow置为TRUE为后续“这是一次由重定向引发的请求”打上标记。再发起Curl_http_follow()的核心流程紧随其后核心函数Curl_http_follow()lib/http.c#L1176负责真正执行跟随动作。从源码结构看其内部按顺序完成了这样几件事计数与上限检查通过data-state.followlocation累计跟随次数并与data-set.maxredirs由--max-redirs控制比较一旦达到上限即转入FOLLOW_FAKE模式——它只解析并保存“本应跳转的地址”到data-info.wouldredirect然后以错误码CURLE_TOO_MANY_REDIRECTS失败并输出错误信息Maximum (%d) redirects followed见 lib/http.c#L1190-L1299。自动 Referer若开启了--referer ;auto对应CURLOPT_AUTOREFERER会把当前 URL 去掉用户凭据与片段fragment后作为下一个请求的 Referer。解析并替换新 URL调用curl_url_set()把Location:给出的地址解析合并进当前 URL处理相对地址、./..等随后Curl_bufref_set(data-state.url, ...)让下一轮请求使用新地址对一次 3xx 之后到来的目标 URL默认不允许携带自定义端口号。协议可用性校验url_set_conn_scheme()lib/url.c#L1269-L1289会检查新地址的协议是否同时满足allowed_protocols与redir_protocols后者即--proto-redir的控制对象。若协议被禁用报错信息会带有明确的(in redirect)后缀例如Protocol gopher is disabled (in redirect)。由此可见-L并非简单“再请求一次”而是一套完整的“解析新地址 → 校验安全策略 → 切换方法与请求体 → 重新发送”的状态机流程整个生命周期由data-state.this_is_a_follow标记贯穿。查看每一次跳转的响应头默认情况下curl 跟随重定向时只把“最后一个”目标的响应体写出来中间跳转的 3XX 响应头并不显示。如果你想观察完整的跳转链路例如排查被 301/302 反复弹回的问题可以结合另外两个开关使用# 跟随重定向的同时在 stdout 打印所有被请求页面的响应头 curl -L --show-headers https://example.com/redirect-me # HEAD 请求场景--head 与 -L 连用观察每一跳的响应头 curl -L -I https://example.com/redirect-me文档中明确见 docs/cmdline-opts/location.md当--location与--show-headers或--head一起使用时所有被请求页面包括每一次中间跳转的响应头都会被展示出来。这是排查重定向循环、核对中间状态码最直接的手段。凭据与 Cookie 的跨主机隔离安全边界这是--location最容易被忽略、也最关键的安全语义当你通过命令行提供认证信息例如--user或--oauth2-bearer或通过-H Cookie:显式发送 Cookie 时curl只把这些凭据发送给最初的主机。一旦重定向把 curl 带到了另一个主机凭据不会被带过去。这里的“另一个主机”指的是主机名、协议 scheme、端口号三者中至少一项发生了变化。在源码层面这一策略体现在发送自定义请求头时的过滤逻辑中lib/http.c#L1878-L1883 会逐条检查用户自定义的请求头凡是Authorization或Cookie头都必须通过Curl_auth_allowed_to_host(data)的同源校验才会随请求发出从而从根上杜绝敏感凭据泄漏给跳转后的第三方主机。该函数定义处lib/http.c#L676 附近的注释明确写着“redirected URL bypass the cross-host auth boundary”必须被防止。依赖此默认保护的实际效果是初始请求携带认证信息正常访问 A 站若 A 站把请求重定向到 B 站则 B 站收到的后续请求不带你的用户名/密码与Cookie:头。需要打破隔离时的选择--location-trusted行为与--location一致但允许 curl 把凭据与其他敏感数据包括用--header显式设置的“长”Cookie发给其他主机。文档docs/cmdline-opts/location-trusted.md明确警告如果站点把你重定向到一个你会向它发送敏感数据的目标这可能带来安全风险请仅在信任全部可能跳转目标时使用# 把凭据一并带给跳转后的主机慎用 curl --location-trusted -u user:password https://example.com/login curl --location-trusted -H Cookie: sessionabc https://example.com/login--netrc配合使用当--location与--netrc同时启用时对跳转后到达的主机curl 也可能从 netrc 文件中为该主机挑选对应的凭据见 docs/cmdline-opts/location.md。这意味着只要你把各站点的账号维护在同一个 netrc 文件里跨主机跳转时同样能按目标主机自动完成认证。POST 在重定向时的方法降级规则HTTP 历史上对 3XX 的处理存在分歧curl 遵循多数浏览器的惯用行为并提供了可配置的钩子。文档给出的规则见 docs/cmdline-opts/location.md是若原请求是POST且服务器返回301、302 或 303curl 在发起后续请求时会把方法切换为 GET若返回的是其他任何 3xx 状态码如 307 Temporary Redirect、308 等curl 会用相同、未修改的方法重发后续请求。在 lib/http.c 中这一逻辑由http_switch_to_get()lib/http.c#L1154-L1169与Curl_http_follow()内的状态码分支lib/http.c#L1322-L1404共同实现其中的 switch 语句逐一注释了 RFC 7231 中 301/302/303 的历史原因——浏览器默认允许把 POST 降级为 GET许多服务器也正是期望这种“降级”行为因此 libcurl 为保证与主流用户代理一致而默认强制 GET。具体分支逻辑从源码结构看301/302仅当当前请求确实是 POSTHTTPREQ_IS_POST且用户未通过--post301/--post302显式要求保留时才降级为 GET303 See Other只要不是 POST 或用户未通过--post303保留方法就降级为 GET304 Not Modified属于条件请求结果不处理Location:305 Use Proxy及其他落入 default 分支不做方法改写。保持 POST 方法不变的专用开关如果你明确需要让 POST 在 30x 之后仍以 POST 重发例如对接某些不规范的 API请使用为这一目的设计的专用选项--post301、--post302与--post303而不是依赖默认的降级行为。--request的优先级文档特别强调用--request显式指定的方法会覆盖curl 在重定向上本应选择的方法。换句话说如果你用--request POST或自定义方法发起请求跟随重定向时 curl 会以你指定的方法为准不再自行降级到 GET。这一点同样可以从源码中印证http_switch_to_get()会检查STRING_CUSTOMREQUEST即--request注入的自定义方法在CURLFOLLOW_OBEYCODE语义下若存在自定义方法则放弃强制切换。控制重定向次数--max-redirs无限制的跟随很容易被恶意的循环重定向拖垮因此 curl 内置了次数上限。相关选项为--max-redirs num元数据与用法见 docs/cmdline-opts/max-redirs.md# 最多跟随 3 次重定向 curl --max-redirs 3 --location https://example.com/redirect-me关键行为与默认值文档声明的默认上限为50 次。这与命令行工具侧的默认值一致——其定义位于 src/tool_main.h#L28#define DEFAULT_MAXREDIRS 50L并在 src/tool_cfgable.c#L47 初始化到config-maxredirs。注意libcurl 库自身的默认值CURLOPT_MAXREDIRS为 30见 lib/url.c#L339与命令行工具默认值并不相同编程调用时如需要请显式设置。设成-1表示不限制unlimited。当库层maxredirs -1时Curl_http_follow()会跳过上限比较见 lib/http.c#L1191。超过上限时 curl 会以错误退出并给出形如Maximum (50) redirects followed的提示对应错误码CURLE_TOO_MANY_REDIRECTS。限制重定向允许的协议--proto-redir重定向不仅能跨主机还能跨协议例如从 HTTP 跳转到其他 scheme 的 URL。--proto-redir protocols用于声明“在重定向时可以接受跟随哪些协议”详见 docs/cmdline-opts/proto-redir.md# 仅允许在重定向时跟随 HTTP 与 HTTPS curl --proto-redir -all,http,https --follow http://example.com # 等价写法 curl --proto-redir http,https --follow http://example.com协议清单的写法规则与--proto完全一致理解要点默认白名单重定向上默认仅允许HTTP、HTTPS、FTP、FTPS该收紧自 curl 7.65.2 起生效。这一默认值对应源码初始化处的set-redir_protocols CURLPROTO_REDIR;lib/url.c#L381并由 lib/url.c#L1276-L1289 的协议可连性检查在每次重定向请求时强制执行。已被--proto拒绝的协议--proto-redir无权放行两者构成“与”关系--proto是更外层的门禁。若指定all或all表示放开所有协议的重定向跟随文档明确提示这不利于安全例如可能把请求从 HTTPS 重定向到明文或不安全的传输协议上生产环境应谨慎评估。与其它选项的关系速查--location并不是孤立选项它的元数据中维护了一份 See-also 清单。下表汇总了与之搭配最频繁、且在本仓库 docs/cmdline-opts/ 中均有独立文档的相关选项选项作用相关文档--location-trusted跟随重定向且允许把凭据/Cookie 带给其他主机docs/cmdline-opts/location-trusted.md--max-redirs num设置最多跟随的重定向次数默认 50-1不限docs/cmdline-opts/max-redirs.md--proto-redir protocols限制重定向时可跟随的协议白名单docs/cmdline-opts/proto-redir.md--follow阅读本文时应了解--follow实际是--location在更早 curl 版本中的别名/旧称二者文档相互引用docs/cmdline-opts/follow.md--resolve自定义 DNS 解析常用于重定向调试与测试环境见同一目录下的resolve.md--alt-svc启用 Alt-Svc 缓存配合跳转做连接层优化docs/cmdline-opts/alt-svc.md--head/--show-headers观察每一跳的响应头docs/cmdline-opts/head.md阅读提示选项说明中相互引用的--location、--location-trusted、--max-redirs、--proto-redir、--follow均为同一目录树下的独立条目需要深挖时可直接翻看对应.md文件。从命令行到 libcurl对应的编程接口-L在命令行工具内部最终映射为 libcurl 的 set 接口。搜索本仓库 lib/setopt.c 与 lib/easyoptions.c 可以发现命令行选项与库选项存在清晰的对应关系命令行选项libcurl 选项语义--locationCURLOPT_FOLLOWLOCATION启用 HTTP 重定向跟随--location-trustedCURLOPT_UNRESTRICTED_AUTH允许跨主机携带凭据--max-redirs numCURLOPT_MAXREDIRS设置跟随上限库默认 30--post301/302/303CURLOPT_POSTREDIR控制在 30x 后保留 POST--proto-redir protocolsCURLOPT_REDIR_PROTOCOLS限制重定向协议白名单例如使用 C 语言直接调用时等效于-L的代码片段是CURL *curl curl_easy_init(); curl_easy_setopt(curl, CURLOPT_URL, https://example.com/redirect-me); curl_easy_setopt(curl, CURLOPT_FOLLOWLOCATION, 1L); /* 对应 -L */ curl_easy_setopt(curl, CURLOPT_MAXREDIRS, 10L); /* 对应 --max-redirs 10 */ /* 需要跨主机凭据时curl_easy_setopt(curl, CURLOPT_UNRESTRICTED_AUTH, 1L); */ curl_easy_perform(curl); curl_easy_cleanup(curl);运行时若遇到跳转异常curl 的诊断输出-v与错误码也是定位线索跟随上限触达对应CURLE_TOO_MANY_REDIRECTS47目标协议被重定向白名单拒绝则返回CURLE_UNSUPPORTED_PROTOCOL并提示(in redirect)。小结与最佳实践综合文档与源码使用--location时应记住以下几条实践准则默认安全边界值得依赖跨主机重定向时凭据与 Cookie 默认被隔离不要为了省事随意改用--location-trusted注意 POST 语义变化301/302/303 会把 POST 降级为 GET若你的表单提交依赖 POST 语义请显式评估--post301/--post302/--post303或改用返回 307/308 的接口始终设置合理的--max-redirs默认上限已经存在工具 50 / 库 30但对不可信目标可进一步收紧避免被循环重定向拖入超时用--proto-redir收紧跨协议跳转默认只放行 HTTP/HTTPS/FTP/FTPS若你的场景根本不接受 FTP/FTPS 跳转可用--proto-redir http,https显式声明排查问题时用-L --show-headers或-L -I观察每一跳的状态码与Location:头配合-v的输出即可完整还原整个重定向链路。【免费下载链接】curlA command line tool and library for transferring data with URL syntax, supporting DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, MQTT, MQTTS, POP3, POP3S, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET, TFTP, WS and WSS. libcurl offers a myriad of powerful features项目地址: https://gitcode.com/GitHub_Trending/cu/curl创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 curl `--location`（`-L`）重定向跟随完全指南：从命令行参数到 libcurl 源码实现
curl--location-L重定向跟随完全指南从命令行参数到 libcurl 源码实现【免费下载链接】curlA command line tool and library for transferring data with URL syntax, supporting DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, MQTT, MQTTS, POP3, POP3S, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET, TFTP, WS and WSS. libcurl offers a myriad of powerful features项目地址: https://gitcode.com/GitHub_Trending/cu/curl--location短选项-L是 curl 命令行工具中用于自动跟随 HTTP 重定向3XX Location:响应头的核心开关它决定了 curl 是原地报错退出还是顺着服务器指引重新发出请求、最终取回真实内容。本文以 docs/cmdline-opts/location.md 为主线结合本仓库 src/命令行工具与 lib/libcurl 库中的实际实现代码系统讲解-L的用法、跨主机凭据隔离策略、POST 到 GET 的降级规则、重定向次数上限与协议白名单等完整行为帮助你安全、精确地驾驭 curl 的重定向能力。--location/-L选项总览curl 的选项元数据统一维护在 docs/cmdline-opts/ 目录下每个.md文件头部即记录了该选项的权威定义。--location的元数据如下属性值长选项--location短选项-L功能描述Follow redirects跟随重定向适用协议HTTP所属分类http可多次指定否布尔开关重复指定无额外效果它的行为定义见 docs/cmdline-opts/location.md可以概括为一句核心语义若服务器以Location:响应头配合 3XX 状态码告知“所请求的页面已迁移到新地址”该选项会让 curl 对新地址重新发起请求。最简单的用法curl -L https://example.com/redirect-me # 等价写法 curl --location https://example.com/redirect-me-L是典型的布尔型“单开关”选项不接收参数值。在配置文件中同样可以写入location来启用它。curl 如何识别并处理一次重定向底层解析Location:响应头并记录新地址在 libcurl 的 HTTP 实现 lib/http.c 中响应头解析器按首字母分派Location:头部由http_header_l()处理。该函数见 lib/http.c#L3417-L3456的完整逻辑是提取Location:的头部值保存到data-req.location忽略空值以及与前一次完全相同的重复值防止死循环内重复解析若同时收到多个不相同的Location:头直接以CURLE_WEIRD_SERVER_REPLY报错终止当本次响应的状态码落在 300–399 之间且http_follow_mode被启用即用户打开了跟随开关时把该地址克隆为data-req.newurl并把data-state.this_is_a_follow置为TRUE为后续“这是一次由重定向引发的请求”打上标记。再发起Curl_http_follow()的核心流程紧随其后核心函数Curl_http_follow()lib/http.c#L1176负责真正执行跟随动作。从源码结构看其内部按顺序完成了这样几件事计数与上限检查通过data-state.followlocation累计跟随次数并与data-set.maxredirs由--max-redirs控制比较一旦达到上限即转入FOLLOW_FAKE模式——它只解析并保存“本应跳转的地址”到data-info.wouldredirect然后以错误码CURLE_TOO_MANY_REDIRECTS失败并输出错误信息Maximum (%d) redirects followed见 lib/http.c#L1190-L1299。自动 Referer若开启了--referer ;auto对应CURLOPT_AUTOREFERER会把当前 URL 去掉用户凭据与片段fragment后作为下一个请求的 Referer。解析并替换新 URL调用curl_url_set()把Location:给出的地址解析合并进当前 URL处理相对地址、./..等随后Curl_bufref_set(data-state.url, ...)让下一轮请求使用新地址对一次 3xx 之后到来的目标 URL默认不允许携带自定义端口号。协议可用性校验url_set_conn_scheme()lib/url.c#L1269-L1289会检查新地址的协议是否同时满足allowed_protocols与redir_protocols后者即--proto-redir的控制对象。若协议被禁用报错信息会带有明确的(in redirect)后缀例如Protocol gopher is disabled (in redirect)。由此可见-L并非简单“再请求一次”而是一套完整的“解析新地址 → 校验安全策略 → 切换方法与请求体 → 重新发送”的状态机流程整个生命周期由data-state.this_is_a_follow标记贯穿。查看每一次跳转的响应头默认情况下curl 跟随重定向时只把“最后一个”目标的响应体写出来中间跳转的 3XX 响应头并不显示。如果你想观察完整的跳转链路例如排查被 301/302 反复弹回的问题可以结合另外两个开关使用# 跟随重定向的同时在 stdout 打印所有被请求页面的响应头 curl -L --show-headers https://example.com/redirect-me # HEAD 请求场景--head 与 -L 连用观察每一跳的响应头 curl -L -I https://example.com/redirect-me文档中明确见 docs/cmdline-opts/location.md当--location与--show-headers或--head一起使用时所有被请求页面包括每一次中间跳转的响应头都会被展示出来。这是排查重定向循环、核对中间状态码最直接的手段。凭据与 Cookie 的跨主机隔离安全边界这是--location最容易被忽略、也最关键的安全语义当你通过命令行提供认证信息例如--user或--oauth2-bearer或通过-H Cookie:显式发送 Cookie 时curl只把这些凭据发送给最初的主机。一旦重定向把 curl 带到了另一个主机凭据不会被带过去。这里的“另一个主机”指的是主机名、协议 scheme、端口号三者中至少一项发生了变化。在源码层面这一策略体现在发送自定义请求头时的过滤逻辑中lib/http.c#L1878-L1883 会逐条检查用户自定义的请求头凡是Authorization或Cookie头都必须通过Curl_auth_allowed_to_host(data)的同源校验才会随请求发出从而从根上杜绝敏感凭据泄漏给跳转后的第三方主机。该函数定义处lib/http.c#L676 附近的注释明确写着“redirected URL bypass the cross-host auth boundary”必须被防止。依赖此默认保护的实际效果是初始请求携带认证信息正常访问 A 站若 A 站把请求重定向到 B 站则 B 站收到的后续请求不带你的用户名/密码与Cookie:头。需要打破隔离时的选择--location-trusted行为与--location一致但允许 curl 把凭据与其他敏感数据包括用--header显式设置的“长”Cookie发给其他主机。文档docs/cmdline-opts/location-trusted.md明确警告如果站点把你重定向到一个你会向它发送敏感数据的目标这可能带来安全风险请仅在信任全部可能跳转目标时使用# 把凭据一并带给跳转后的主机慎用 curl --location-trusted -u user:password https://example.com/login curl --location-trusted -H Cookie: sessionabc https://example.com/login--netrc配合使用当--location与--netrc同时启用时对跳转后到达的主机curl 也可能从 netrc 文件中为该主机挑选对应的凭据见 docs/cmdline-opts/location.md。这意味着只要你把各站点的账号维护在同一个 netrc 文件里跨主机跳转时同样能按目标主机自动完成认证。POST 在重定向时的方法降级规则HTTP 历史上对 3XX 的处理存在分歧curl 遵循多数浏览器的惯用行为并提供了可配置的钩子。文档给出的规则见 docs/cmdline-opts/location.md是若原请求是POST且服务器返回301、302 或 303curl 在发起后续请求时会把方法切换为 GET若返回的是其他任何 3xx 状态码如 307 Temporary Redirect、308 等curl 会用相同、未修改的方法重发后续请求。在 lib/http.c 中这一逻辑由http_switch_to_get()lib/http.c#L1154-L1169与Curl_http_follow()内的状态码分支lib/http.c#L1322-L1404共同实现其中的 switch 语句逐一注释了 RFC 7231 中 301/302/303 的历史原因——浏览器默认允许把 POST 降级为 GET许多服务器也正是期望这种“降级”行为因此 libcurl 为保证与主流用户代理一致而默认强制 GET。具体分支逻辑从源码结构看301/302仅当当前请求确实是 POSTHTTPREQ_IS_POST且用户未通过--post301/--post302显式要求保留时才降级为 GET303 See Other只要不是 POST 或用户未通过--post303保留方法就降级为 GET304 Not Modified属于条件请求结果不处理Location:305 Use Proxy及其他落入 default 分支不做方法改写。保持 POST 方法不变的专用开关如果你明确需要让 POST 在 30x 之后仍以 POST 重发例如对接某些不规范的 API请使用为这一目的设计的专用选项--post301、--post302与--post303而不是依赖默认的降级行为。--request的优先级文档特别强调用--request显式指定的方法会覆盖curl 在重定向上本应选择的方法。换句话说如果你用--request POST或自定义方法发起请求跟随重定向时 curl 会以你指定的方法为准不再自行降级到 GET。这一点同样可以从源码中印证http_switch_to_get()会检查STRING_CUSTOMREQUEST即--request注入的自定义方法在CURLFOLLOW_OBEYCODE语义下若存在自定义方法则放弃强制切换。控制重定向次数--max-redirs无限制的跟随很容易被恶意的循环重定向拖垮因此 curl 内置了次数上限。相关选项为--max-redirs num元数据与用法见 docs/cmdline-opts/max-redirs.md# 最多跟随 3 次重定向 curl --max-redirs 3 --location https://example.com/redirect-me关键行为与默认值文档声明的默认上限为50 次。这与命令行工具侧的默认值一致——其定义位于 src/tool_main.h#L28#define DEFAULT_MAXREDIRS 50L并在 src/tool_cfgable.c#L47 初始化到config-maxredirs。注意libcurl 库自身的默认值CURLOPT_MAXREDIRS为 30见 lib/url.c#L339与命令行工具默认值并不相同编程调用时如需要请显式设置。设成-1表示不限制unlimited。当库层maxredirs -1时Curl_http_follow()会跳过上限比较见 lib/http.c#L1191。超过上限时 curl 会以错误退出并给出形如Maximum (50) redirects followed的提示对应错误码CURLE_TOO_MANY_REDIRECTS。限制重定向允许的协议--proto-redir重定向不仅能跨主机还能跨协议例如从 HTTP 跳转到其他 scheme 的 URL。--proto-redir protocols用于声明“在重定向时可以接受跟随哪些协议”详见 docs/cmdline-opts/proto-redir.md# 仅允许在重定向时跟随 HTTP 与 HTTPS curl --proto-redir -all,http,https --follow http://example.com # 等价写法 curl --proto-redir http,https --follow http://example.com协议清单的写法规则与--proto完全一致理解要点默认白名单重定向上默认仅允许HTTP、HTTPS、FTP、FTPS该收紧自 curl 7.65.2 起生效。这一默认值对应源码初始化处的set-redir_protocols CURLPROTO_REDIR;lib/url.c#L381并由 lib/url.c#L1276-L1289 的协议可连性检查在每次重定向请求时强制执行。已被--proto拒绝的协议--proto-redir无权放行两者构成“与”关系--proto是更外层的门禁。若指定all或all表示放开所有协议的重定向跟随文档明确提示这不利于安全例如可能把请求从 HTTPS 重定向到明文或不安全的传输协议上生产环境应谨慎评估。与其它选项的关系速查--location并不是孤立选项它的元数据中维护了一份 See-also 清单。下表汇总了与之搭配最频繁、且在本仓库 docs/cmdline-opts/ 中均有独立文档的相关选项选项作用相关文档--location-trusted跟随重定向且允许把凭据/Cookie 带给其他主机docs/cmdline-opts/location-trusted.md--max-redirs num设置最多跟随的重定向次数默认 50-1不限docs/cmdline-opts/max-redirs.md--proto-redir protocols限制重定向时可跟随的协议白名单docs/cmdline-opts/proto-redir.md--follow阅读本文时应了解--follow实际是--location在更早 curl 版本中的别名/旧称二者文档相互引用docs/cmdline-opts/follow.md--resolve自定义 DNS 解析常用于重定向调试与测试环境见同一目录下的resolve.md--alt-svc启用 Alt-Svc 缓存配合跳转做连接层优化docs/cmdline-opts/alt-svc.md--head/--show-headers观察每一跳的响应头docs/cmdline-opts/head.md阅读提示选项说明中相互引用的--location、--location-trusted、--max-redirs、--proto-redir、--follow均为同一目录树下的独立条目需要深挖时可直接翻看对应.md文件。从命令行到 libcurl对应的编程接口-L在命令行工具内部最终映射为 libcurl 的 set 接口。搜索本仓库 lib/setopt.c 与 lib/easyoptions.c 可以发现命令行选项与库选项存在清晰的对应关系命令行选项libcurl 选项语义--locationCURLOPT_FOLLOWLOCATION启用 HTTP 重定向跟随--location-trustedCURLOPT_UNRESTRICTED_AUTH允许跨主机携带凭据--max-redirs numCURLOPT_MAXREDIRS设置跟随上限库默认 30--post301/302/303CURLOPT_POSTREDIR控制在 30x 后保留 POST--proto-redir protocolsCURLOPT_REDIR_PROTOCOLS限制重定向协议白名单例如使用 C 语言直接调用时等效于-L的代码片段是CURL *curl curl_easy_init(); curl_easy_setopt(curl, CURLOPT_URL, https://example.com/redirect-me); curl_easy_setopt(curl, CURLOPT_FOLLOWLOCATION, 1L); /* 对应 -L */ curl_easy_setopt(curl, CURLOPT_MAXREDIRS, 10L); /* 对应 --max-redirs 10 */ /* 需要跨主机凭据时curl_easy_setopt(curl, CURLOPT_UNRESTRICTED_AUTH, 1L); */ curl_easy_perform(curl); curl_easy_cleanup(curl);运行时若遇到跳转异常curl 的诊断输出-v与错误码也是定位线索跟随上限触达对应CURLE_TOO_MANY_REDIRECTS47目标协议被重定向白名单拒绝则返回CURLE_UNSUPPORTED_PROTOCOL并提示(in redirect)。小结与最佳实践综合文档与源码使用--location时应记住以下几条实践准则默认安全边界值得依赖跨主机重定向时凭据与 Cookie 默认被隔离不要为了省事随意改用--location-trusted注意 POST 语义变化301/302/303 会把 POST 降级为 GET若你的表单提交依赖 POST 语义请显式评估--post301/--post302/--post303或改用返回 307/308 的接口始终设置合理的--max-redirs默认上限已经存在工具 50 / 库 30但对不可信目标可进一步收紧避免被循环重定向拖入超时用--proto-redir收紧跨协议跳转默认只放行 HTTP/HTTPS/FTP/FTPS若你的场景根本不接受 FTP/FTPS 跳转可用--proto-redir http,https显式声明排查问题时用-L --show-headers或-L -I观察每一跳的状态码与Location:头配合-v的输出即可完整还原整个重定向链路。【免费下载链接】curlA command line tool and library for transferring data with URL syntax, supporting DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, MQTT, MQTTS, POP3, POP3S, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET, TFTP, WS and WSS. libcurl offers a myriad of powerful features项目地址: https://gitcode.com/GitHub_Trending/cu/curl创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考