L'utilisation sécuritaire de HttpURLConnection

Lors de l'utilisation de HttpURLConnection ne l'InputStream doivent être fermés si nous ne faisons pas " get " et l'utiliser?

c'est à dire est-ce sûr?

HttpURLConnection conn = (HttpURLConnection) uri.getURI().toURL().openConnection();
conn.connect();
//check for content type I don't care about
if (conn.getContentType.equals("image/gif") return; 
//get stream and read from it
InputStream is = conn.getInputStream();
try {
    //read from is
} finally {
    is.close();
}

Deuxièmement, est-il sûr pour fermer un InputStream avant tout c'est le contenu a été entièrement lu?

Il y a un risque de laisser le socket sous-jacente dans même état CLOSE_WAIT?

InformationsquelleAutor Joel | 2011-01-22

28

est-il sécuritaire pour fermer un InputStream
avant tout c'est le contenu a été
lire

Vous avez besoin de lire toutes les données dans le flux d'entrée avant de le fermer, de sorte que la connexion TCP sous-jacente mise en cache. J'ai lu qu'il ne devrait pas être nécessaire dans la dernière version de Java, mais il a toujours été mandaté pour lire l'intégralité de réponse pour le raccordement de la réutilisation.

Vérifier ce post: keep-alive dans java6
- Très intéressante. Cette question est en fait de fond pour un problème que j'ai où je vois BEAUCOUP de CLOSE_WAIT sockets de la même adresse IP, mais en raison de la mise en cache (je n'appelle pas URLConnection.disconnect() explicitement) je m'attends à un seul, qui doivent être réutilisés.
- l'appel de la HttpUrlConnection.disconnect() le sous-jacent tcp socket est fermée. En fermant le flux d'entrée, le sous-jacent socket tcp est commun pour les réutiliser ultérieurement.Le seul inconvénient est que l'ensemble de la réponse (OU l'ensemble de la réponse d'erreur) doit être lu dans le flux d'entrée pour la connexion tcp à être mis en cache. Cela a toujours été conseillé que vous réellement besoin de l'ensemble des données du flux. Vérifiez le post dans ma réponse
- Que faire si vous ne lisez pas TOUTES les données, comme pour mon premier exemple - je devine que vous avez encore besoin de fermer l'EST, mais il n'est toujours pas mis en cache si aucune donnée n'est lu, mais il est toujours fermé.
- lire le post que je mentionne dans ma réponse
- Bon article, merci. Un couple de choses que je ne suis pas encore au clair sur. 1) Quelle est la durée d'un cache de connexion conservées pour avant de la rejeter? Je ne pouvais pas voir un "jeter après des années 60 inactivité" type de paramètre. 2) Il n'était pas clair pour moi ce que l'état de la connexion serait de gauche en après l'appel de près, mais pas avant de lire tout le contenu - il dit qu'il ne sera pas disponible pour ré-utilisation/mise en cache, ce qui est bien - mais le socket sous-jacente en fait être fermé?
- la question est liée au protocole HTTP.La connexion DOIT rester en vie pour le délai spécifié par le serveur dans la réponse HTTP (serveur envoie en-tête HTTP, le nombre maximum de demandes de cette connexion peut être utilisée ou la durée maximale de la période de maintenir la connexion ouverte).Le client http doit honneur et c'est aussi le comportement de HttpURLConnection.Si le serveur n'envoie pas ces infos dans la réponse, la connexion est fermée très bientôt (je pense que arround après quelques secondes d'inactivité) de ne pas gaspiller les ressources.
- En outre, vous avez besoin de prendre IOException et fermer getErrorStream() si elle renvoie non-nulle, comme énoncé dans la "keep-alive dans java6" lien.
InformationsquelleAutor Cratylus
33

Selon http://docs.oracle.com/javase/6/docs/technotes/guides/net/http-keepalive.html
et OpenJDK code source.

(Quand keepAlive == true)

Si le client appelle HttpURLConnection.getInputSteam().close(), l'appeler plus tard à HttpURLConnection.disconnect() sera PAS fermer la Socket. c'est à dire La Socket est réutilisé (en cache)

Si le client n'appelle pas close(), appel disconnect() va fermer le InputStream et fermer la Socket.

Afin de réutiliser le Socket, il suffit d'appeler InputStream.close(). Ne pas appeler HttpURLConnection.disconnect().

InformationsquelleAutor Anderson Mao
18

Voici quelques informations concernant le keep-alive cache. L'ensemble de ces informations concerne la version 6 de Java, mais il est probablement aussi précis pour beaucoup avant et versions ultérieures.

De ce que je peux dire, le code se résume à:
1. Si le serveur distant envoie un "Keep-Alive" en-tête avec un "timeout" de la valeur qui peut être analysé comme un nombre positif, le nombre de secondes est utilisé pour le délai d'attente.
2. Si le serveur distant envoie un "Keep-Alive" en-tête, mais il n'a pas un "délai d'attente" de la valeur qui peut être analysé comme un entier positif et "usingProxy" est vrai, alors le délai est de 60 secondes.
3. Dans tous les autres cas, le délai d'attente est de 5 secondes.
Cette logique est partagé entre deux lieux: autour de la ligne 725 de soleil.net.www.http.HttpClient (dans le "parseHTTPHeader" la méthode), et autour de la ligne 120 de soleil.net.www.http.KeepAliveCache (dans le "mettre" de la méthode).

Donc, il y a deux façons de régler le délai d'attente
1. Contrôler le serveur distant et de le configurer pour envoyer un Keep-Alive-tête avec le bon champ délai d'expiration
2. Modifier le JDK code source et de construire votre propre.
On pourrait penser qu'il serait possible de changer la apparemment arbitraire de cinq secondes par défaut sans avoir à recompiler interne les classes du JDK, mais il ne l'est pas. Un bug a été déposée en 2005, demandant cette capacité, mais le Soleil a refusé de les fournir.
- Nice recherche sur un mal documenté sujet. Merci pour le partage.
InformationsquelleAutor Samuel Edwin Ward
7

Si vous voulez vraiment vous assurer que la connexion est proche, vous devez appeler conn.disconnect().

Les connexions ouvertes que vous avez observé à cause de la HTTP 1.1 connexion à garder vivante la fonctionnalité (aussi connu comme HTTP Connexions Persistantes).
Si le serveur supporte le protocole HTTP 1.1 et n'envoie pas un Connection: close dans l'en-tête de réponse, Java ne pas fermer immédiatement la sous-jacente de la connexion TCP lorsque vous fermez le flux d'entrée. Au lieu de cela il le garde ouvert et tente de les réutiliser pour la prochaine requête HTTP vers le même serveur.

Si vous ne voulez pas ce comportement, vous pouvez configurer le système de la propriété http.keepAlive false:
```
System.setProperty("http.keepAlive","false");
```
- Merci. En supposant que la connexion n'est pas en cours d'utilisation savez-vous combien de temps il est mis en cache avant d'être fermé, et est-il un moyen de contrôler cette période de délai d'attente?
InformationsquelleAutor Robert
3

Vous devez également fermer le flux d'erreur si la requête HTTP a échoué (mais rien de 200):
```
try {
  ...
}
catch (IOException e) {
  connection.getErrorStream().close();
}
```
Si vous ne le faites pas, toutes les requêtes qui ne renvoient 200 (par exemple, délai d'attente) est une fuite de la douille.
- Pas tout à fait sûr de ce sujet - que le dernier code source (JDK 8u74) lit public InputStream getErrorStream() { return null; }
- quel est le finally bloc. vous pouvez utiliser le enfin fermer le flux de données au lieu de catch
InformationsquelleAutor Vlad Lifliand
1

Lors de l'utilisation de HttpURLConnection ne l'InputStream doivent être fermés si nous ne faisons pas " get " et l'utiliser?

Oui, il doit toujours être fermé.

c'est à dire est-ce sûr?

Pas à 100%, vous courez le risque de contracter un NPE. La sécurité est:
```
InputStream is = null;
try {
    is = conn.getInputStream()
    //read from is
} finally {
    if (is != null) {
        is.close();
    }
}
```
- La deuxième question était en référence à la socket sous-jacente de l'état, j'ai volontairement posté incomplète extrait de avec ce qui concerne à la pleine exécution de code de sécurité. Je veux vraiment savoir si il y a un danger d'une prise de gauche dans CLOSE_WAIT ou ÉTABLI par la fermeture de la socket avant tout le contenu est lu,
- Ou IOUtils.closeQuietly(is)
InformationsquelleAutor Arjan Tijms

Vous devez vous connecter pour publier un commentaire.