Access VBA中XMLHTTP PUT请求报403错误，Postman可正常运行

问题背景 #

在MS Access中编写的VBA代码执行PUT请求时返回403 Forbidden错误，但相同参数在POSTMAN中可正常运行；仅PUT方法存在此问题，无需CSRF Token的GET方法在VBA中可正常工作，怀疑是否需要携带CSRF Token对应的Cookie。

原代码 #

Public Sub AddUserToGroup(GroupID As String, UserID As String)
    Dim xmlhttp As Object
    Dim url As String
    Dim authToken As String
    Dim csrfToken As String
    Dim jsonBody As String
    Dim responseText As String
    Dim strCookie As String
    
    ' Initialize variables
    url = fetchUrl("groups")
    
     ' Get request headers
    Set headers = getHeaders("PUT")
 
    ' Prepare JSON body
    jsonBody = "{""schemas"": [""urn:ietf:params:scim:schemas:core:2.0:Group""], " & _
               """id"": """ & GroupID & """, " & _
               """members"": [ { ""value"": """ & UserID & """, ""type"": ""User"" } ] }"
      
    ' Create XMLHTTP object
    Set xmlhttp = CreateObject("WinHttp.WinHttpRequest.5.1")
       
    ' Open HTTP request
    xmlhttp.Open "PUT", url, False
 
    'Set request headers
    xmlhttp.SetRequestHeader "Content-Type", headers("Content-Type")
    xmlhttp.SetRequestHeader "x-sap-sac-custom-auth", headers("x-sap-sac-custom-auth")
    xmlhttp.SetRequestHeader "x-csrf-token", headers("x-csrf-token")
    xmlhttp.SetRequestHeader "Authorization", headers("Authorization")
    
    ' Send the request
    xmlhttp.Send jsonBody
    
    ' Get response
    responseText = xmlhttp.responseText
    
    ' Display response
    MsgBox "Response: " & responseText
    
    ' Cleanup
    Set xmlhttp = Nothing
End Sub

核心问题排查与解决 #

1. 必须携带CSRF Token对应的Cookie #

大部分服务端验证CSRF Token时，会同时检查请求的Cookie头和x-csrf-token头：POSTMAN会自动管理会话Cookie，但VBA的WinHttp.WinHttpRequest不会自动保存或复用Cookie，因此需要手动处理：

• 修改getHeaders函数，在获取x-csrf-token的同时，提取响应头中的Set-Cookie值并保存；
• 在PUT请求中添加Cookie头，带上保存的Cookie内容：

  xmlhttp.SetRequestHeader "Cookie", 保存的Cookie值
  

2. 检查PUT请求的URL是否正确 #

SCIM协议中，更新组的PUT请求通常需要指向具体组的资源URL（如https://xxx/groups/{GroupID}），而非通用的groups端点。原代码中url = fetchUrl("groups")可能未拼接GroupID，导致请求地址错误，这是403的常见诱因。

3. 对比POSTMAN与VBA的请求头差异 #

调试时输出VBA请求的所有头信息，和POSTMAN的请求头逐一对比：

' 发送请求前输出请求头
Debug.Print xmlhttp.GetAllRequestHeaders()
' 响应后输出响应头
Debug.Print xmlhttp.GetAllResponseHeaders()

确保所有POSTMAN中存在的请求头（如Accept、User-Agent等）都在VBA中正确设置，部分服务端会校验这些头信息。

4. 验证JSON Body的完整性 #

虽然POSTMAN能正常运行，但需确认SCIM服务是否要求PUT请求提交完整的组资源数据（而非仅members字段）。如果服务端要求全量更新，而你的Body只包含部分字段，也可能返回403或400错误。

代码修改示例（关键部分） #

假设getHeaders函数现在返回包含Cookie的字典：

' 在原代码中添加Cookie头设置
xmlhttp.SetRequestHeader "Cookie", headers("Cookie")

同时修正URL：

url = fetchUrl("groups") & "/" & GroupID

内容的提问来源于stack exchange，提问作者Lord OfTheRing