IE ignora il reindirizzamento 303 in POST -> reindirizzamento -> GET scenario

Question

Ho un sito abilitato OAuth2 che presenta problemi relativi a come IE sta gestendo la risposta 303. Nel flusso, si verificano 3 reindirizzamenti.

### Chrome/Firefox 
POST idp.com/login   (res 302 -> idp.com/authenticate) 
GET idp.com/authenticate (res 302 -> app.com/oauth2/callback) 
GET app.com/oauth2/callback (res 303 -> app.com/home) 
GET app.com/home 

### IE 
POST idp.com/login   (res 302 -> idp.com/authenticate) 
POST idp.com/authenticate (res 302 -> app.com/oauth2/callback) 
POST app.com/oauth2/callback (res 303 -> app.com/home) 
POST app.com/home 

IE sembra essere mantenere il metodo di richiesta originale per qualche motivo. Ho cercato di interrompere almeno la risposta POST originale sul mio server (app.com) restituendo un 303 ma non ha risolto il problema. Questo è inaspettato in quanto RFC 2068 afferma che una risposta 303 - See Other, il seguente dovrebbe essere onorato

La risposta alla richiesta può essere trovata sotto un diverso URI e deve essere recuperato utilizzando un metodo di salire su quel risorsa. Questo metodo esiste principalmente per consentire l'output di uno script attivato da POST per reindirizzare l'agente utente a una risorsa selezionata .

Ho anche provato una risposta 307 senza successo. Qualcuno ha qualche idea su cosa sta succedendo qui?

Answer 1

Avendo riscontrato un problema simile con LinkedIn OAuth e la mia applicazione, ho risolto questo problema in modo particolarmente inelegante. Ho autorizzato il metodo POST per il mio indirizzo di callback e poi internamente alla mia implementazione servlet lo ha trattato come se fosse una chiamata GET.

@RequestMapping(value = ApiValues.LINKEDIN_CALLBACK, method = RequestMethod.POST) 
public void doPost(HttpServletRequest request, HttpServletResponse response, 
     @RequestParam(value = "oauth_token", required = false) String tokenString, 
     @RequestParam(value = "oauth_verifier", required = false) String verifierString) throws ServletException, IOException { 

    handleCallBack(request, response, tokenString, verifierString); 
} 


@RequestMapping(value = ApiValues.LINKEDIN_CALLBACK, method = RequestMethod.GET) 
public void doGet(HttpServletRequest request, HttpServletResponse response, 
     @RequestParam(value = "oauth_token", required = false) String tokenString, 
     @RequestParam(value = "oauth_verifier", required = false) String verifierString) throws ServletException, IOException { 

    handleCallBack(request, response, tokenString, verifierString); 
} 

Celebre sembra solo che IE (e vecchie versioni di IE) stanno fornendo questo problema, Chrome, Firefox e Safari tutti sembrano reindirizzare a GET come da spec.