307内部重定向的一个很好的例子是当谷歌Chrome遇到一个HTTP调用到一个域，它知道需要严格的传输安全。

浏览器使用与原始调用相同的方法无缝重定向。

307内部重定向的一个很好的例子是当谷歌Chrome遇到一个HTTP调用到一个域，它知道需要严格的传输安全。

浏览器使用与原始调用相同的方法无缝重定向。

在某些用例中，攻击者可能会滥用307重定向来了解受害者的凭据。

更多信息可以在OAuth 2.0的全面正式安全分析的3.1节中找到。

上述论文的作者建议如下:

Fix. Contrary to the current wording in the OAuth standard, the exact method of the redirect is not an implementation detail but essential for the security of OAuth. In the HTTP standard (RFC 7231), only the 303 redirect is defined unambigiously to drop the body of an HTTP POST request. All other HTTP redirection status codes, including the most commonly used 302, leave the browser the option to preserve the POST request and the form data. In practice, browsers typically rewrite to a GET request, thereby dropping the form data, except for 307 redirects. Therefore, the OAuth standard should require 303 redirects for the steps mentioned above in order to fix this problem.

最初只有302个

这个想法是:

如果你在某个位置做一个GET，你会重做你的GET到新的URL 如果你在某个位置做POST，你会重做POST到新的URL 如果你在某个位置执行PUT，你会重做PUT到新的URL 如果你在某个位置执行DELETE操作，你会对新的URL重做DELETE操作 等

不幸的是，每个浏览器都做错了。当得到302时，他们总是会在新的URL上切换到GET，而不是用相同的动词(例如，POST)重新尝试请求:

Mosaic做错了 Netscape复制了Mosaic中的漏洞;所以他们错了 ie浏览器复制了Netscape的漏洞;所以他们错了

这实际上是错误的。

所有浏览器都错了302。303和307就这样诞生了。

图表形式

5种不同的重定向:

╔═══════════╦════════════════════════════════════════════════╗
║           ║                Switch to GET?                  ║
║           ╟────────────────────────┬───────────────────────╢
║ Temporary ║          No            │         Yes           ║
╠═══════════╬════════════════════════╪═══════════════════════╣
║ No        ║ 308 Permanent Redirect │ 301 Moved Permanently ║
╟───────────╟────────────────────────┼───────────────────────╢
║ Yes       ║ 307 Temporary Redirect │ 303 See Other         ║
║           ║ 302 Found (intended)   │ 302 Found (actual)    ║
╚═══════════╩════════════════════════╧═══════════════════════╝

另外:

307的出现是因为用户代理采用了一种事实上的行为，即接收到302响应的POST请求并向Location响应头发送GET请求。

这是不正确的行为——只有303才会导致POST转换为GET。如果最初的POST请求返回302，用户代理在请求新URL时应该(但不)坚持使用POST方法。

引入307是为了允许服务器向用户代理清楚地表明，当客户端遵循Location响应报头时，不应该对方法进行更改。

307和302之间的唯一区别是307保证在重定向请求发出时方法和主体不会被更改。对于302，一些旧客户端错误地将方法更改为GET:使用非GET方法和302的行为在Web上是不可预测的，而使用307的行为是可预测的。对于GET请求，它们的行为是相同的。

参考文献:307临时重定向