使用Postman调用API遇403错误且返回初始HTML求助

1. 先确认目标请求是否为真实数据接口 #

很多新手容易把页面本身的请求误当成数据接口。打开浏览器DevTools的Network面板，切换到XHR/Fetch标签（而非Doc标签），刷新页面后筛选返回JSON格式的请求——这类才是你要找的动态数据接口，若选了Doc标签下的请求，自然只会返回初始HTML。

2. 检查请求参数是否完整 #

• 部分接口会携带timestamp、sign这类动态生成的加密参数，复制cURL时如果这些参数是静态值，服务器会判定请求无效，返回默认页面。你需要对比浏览器中成功请求的参数，确认是否遗漏或参数值已过期。
• 核查请求的Query String，确保page、limit等业务参数没有遗漏。

3. 授权相关问题排查（针对403推测） #

• Cookie完整性：多数网站的授权依赖Cookie（尤其是登录态相关的sessionid、auth_token等字段）。复制cURL时要确保完整复制浏览器中的所有Cookie，Postman支持直接导入cURL（右键浏览器请求→Copy as cURL (bash)→Postman中Import），能自动带上所有Cookie，避免手动添加遗漏。
• 额外Token验证：除CSRF Token外，部分网站会使用Authorization请求头（如Bearer Token），检查浏览器中成功请求的请求头是否包含该字段，若有则需完整复制到Postman中。
• 请求顺序模拟：有些网站会验证请求链路，比如要求先访问首页获取必要的Cookie/Token，再请求数据接口。你可以先在Postman中发送首页的GET请求，再发送目标接口请求，保持和浏览器一致的请求顺序。

4. 请求一致性对比技巧 #

将Postman的请求和浏览器中的成功请求做逐字段对比：

• 确认请求方法（GET/POST）完全一致
• 核对所有请求头，包括Accept-Encoding、Accept-Language这类容易忽略的字段
• 检查Cookie的有效期，会话级Cookie可能会过期，需重新从浏览器复制最新值

5. 新手避坑提示 #

Weis这类零售网站反爬机制可能较严格，若上述步骤都无效，可能是遇到了设备指纹验证（如UA的细节校验、JS生成的指纹参数）或请求频率限制。此时单纯靠请求头无法解决，需要进一步分析前端加密逻辑，或暂时回归Selenium完成需求（等熟练后再深入研究接口爬取）。

内容的提问来源于stack exchange，提问作者OkCloudy