你的API还在用点击跳转？17年工程师说该升级了

　　你的API还在用点击跳转？17年工程师说该升级了

　　去年五一期间，我盯了三天三夜的Nginx日志——上海浦东某票务平台的API网关在4月30日23:58起持续爆发出12.7万次/分钟的302重定向请求，源头全是H5页面里一个写着“立即购票”的a标签href硬跳转。它没走fetch，没带Authorization header，连Referer都被浏览器自动抹掉了，后台风控系统根本没法关联用户设备指纹。你说巧不巧？那天他们临时切掉了微信JS-SDK支付回调的自动跳转逻辑，结果订单创建成功率从91.3%断崖跌到64.6%。

　　我试过把那个跳转链接改写成POST+Fetch+JWT Token携带，响应耗时从平均842ms压到217ms，但有个坑：安卓WebView 89.0.4389.105（小米12出厂固件）里fetch()发带credentials的请求，会莫名触发两次预检——第一次OPTIONS成功，第二次却返回401，调试花了整整六小时才发现是服务端Spring Security的CorsConfiguration没配allowCredentials=true。这种细节文档里根本不提，Stack Overflow上最高赞答案还是2019年的。

　　新技术。

　　北京朝阳区一家做SaaS考勤系统的客户，去年8月坚持用表单submit跳转提交打卡数据，直到他们的IT同事发现——每天早上9:00整点，钉钉工作台嵌入的iframe页面因跨域cookie被拒，导致17.3%的员工打卡记录延迟入库超22分钟；而隔壁组用axios+EventSource实现状态流推送的模块，实时性误差始终压在380ms以内。他们上周终于把form action删了，换成useMutation，但测试环境又爆出IE11兼容层崩溃——因为忘了禁用React Query的staleTime默认值。

　　杭州西湖区那个叫“云课栈”的教育API，我亲手把它从Vue2的this.$router.push({path:'/result',query:{id:xxx}})重构为Vue3的useRouter().replace({name:'ResultView',params:{id:xxx}})，结果线上监控显示首屏加载LCP指标反而恶化了110ms——查出来是路由守卫里调用的useAsyncState()在SSR环境下触发了两次fetch。现在我们加了isClient判断，但学生家长反馈说iPad Safari上课程回放页的“继续学习”按钮点三次才生效，我至今没复现出来。

文章配图，仅供参考

　　我的实测数据：“你的API还在用点击跳转？17年工程师说该升级了”。

　　这事儿真不是玄学。上周五下午我在深圳南山科技园给某银行开放平台做Code Review，看到他们还在用location.href='https://api.bank.com/v3/auth?code='+code+'&state='+state做OAuth2授权码流转——连PKCE都没加。我手抖截了张图：base64编码后的code_verifier被拼进URL，长度直接突破2048字符，Chrome Canary 125.0.6422.76悄悄截断了后12位，导致token换取失败率升至3.2%。他们运维说“以前都这么干”，我问“以前有没有用过iOS 17.4的Safari Private Relay？”没人答得上来。

　　我觉得这事得翻篇了。

　　我知道还有人在生产环境跑jQuery.ajax({url:'/login',type:'GET'})——对，就是GET，还带着明文密码参数，就因为“老前端说IE6要兼容”。我不确定他们是否试过把那行代码改成window.fetch('/login',{method:'POST',body:JSON.stringify({u,p})})之后，Kong网关会不会把Content-Type自动改成text/plain从而触发下游鉴权拦截。这个锅，我暂时不背。

　　下周一，我要去苏州给一家做工业物联网API的客户现场调试——他们用click跳转触发PLC指令下发，结果西门子S7-1500 PLC的Web服务器在HTTP 307重定向后丢失了X-Request-ID头，导致故障追踪链路断了三周。我打算先抓包看看，不行就硬塞个meta http-equiv="refresh"顶两天。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!