为何在Node.js/JS外发送相同HTTP请求会返回403未授权？

你遇到的这种情况和Chrome引擎关系不大，核心原因是Node.js/JS环境的请求和其他工具的请求存在隐形差异，服务器通过这些差异识别出非“合法”客户端，返回403。以下是最常见的几个原因和排查方法：

• 请求头缺失或不一致
  浏览器环境（或基于浏览器内核的Node工具）的fetch会自动带上一系列默认请求头，比如：

  • User-Agent：浏览器环境会带Chrome类的标识，而Python requests默认带python-requests/x.x.x这类服务器易识别的标识
  • Accept：浏览器会带text/html,application/json,...多类型值，其他工具可能只带*/*或缺失
  • Origin/Referer：标识请求来源，跨域或同域请求时自动携带，Python等工具默认不会添加
  • Cookie：如果之前有登录会话，浏览器会自动带上对应Cookie，其他工具默认无会话信息

  解决方法：抓包导出Node.js请求的所有请求头，原封不动复制到Python/Reqbin中测试。比如Python的requests示例：

  import requests
  
  headers = {
      'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.0 Safari/537.36',
      'Accept': 'application/json, text/plain, */*',
      'Origin': 'https://example.com',
      'Cookie': 'xxx=xxx; yyy=yyy'
      # 补充所有抓包得到的请求头
  }
  response = requests.post(url, headers=headers)
  

• TLS/SSL客户端指纹校验
  反爬严格的服务器会校验TLS握手时的客户端指纹（比如加密套件顺序、扩展字段等）。Node.js的fetch（尤其是基于Chrome的环境）和Python的requests（基于OpenSSL）的指纹差异明显，服务器会直接拦截非浏览器指纹的请求。

  解决方法：Python中可以用curl_cffi库模拟浏览器的TLS指纹，它能复刻Chrome的TLS行为：

  from curl_cffi import requests
  
  response = requests.post(url, impersonate="chrome118")
  

• 动态请求参数缺失
  有些API要求请求体或URL中携带动态生成的参数（比如sign签名、timestamp时间戳、_csrf令牌），这些参数通常在页面JS中生成。如果你的Node.js代码是在浏览器上下文执行（比如控制台），会自动获取并带上这些参数；而其他工具单独发送请求时则缺失。

  解决方法：抓包对比Node.js请求和其他工具请求的请求体，检查是否有额外参数，然后在Python中手动添加这些动态参数（需要逆向参数生成逻辑）。

• 会话上下文差异
  如果是在浏览器控制台执行的Node.js代码，此时浏览器已经有合法的会话Cookie，fetch会自动携带；而Python/Reqbin是全新会话，没有授权信息，自然返回403。

  解决方法：从浏览器中导出对应Cookie，添加到请求头中。

内容的提问来源于stack exchange，提问作者Davi Davi Amrico Amrico