脚本模拟浏览器获Cookie后请求遭403拒绝的问题咨询

编写脚本模拟浏览器登录Web应用，成功获取会话Cookie后，后续请求始终返回403错误“Permission denied for object”。已完全复制浏览器请求头，问题仍存在。请问服务器是否有脚本检测机制？有哪些可行解决办法？

成功认证后的服务器响应 #

HTTP/1.1 200 OK
Server: XXXXX
Date: Wed, 06 Mar 2024 15:55:45 GMT
Connection: keep-alive
X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
X-XSS-Protection: 1
Content-Security-Policy: default-src 'self'; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline'
Cache-Control: no-store
Strict-Transport-Security: max-age=2592000
Set-Cookie: session=00000007-P4liEibOE; path=/; SameSite=Strict; HttpOnly
Content-Type: text/plain
Content-length: 20

后续请求的curl命令 #

curl -X POST https://10.x.x.x/form-submit/Settings/Change \
-H "Accept: */*" \
-H "Accept-Encoding: gzip, deflate, br, zstd" \
-H "Accept-Language: en-US,en;q=0.9" \
-H "Connection: keep-alive" \
-H "Content-Length: 32" \
-H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
-H "Cookie: session=00000007-P4liEibOE" \
-H "Host: 10.x.x.x" \
-H "Origin: https://10.x.x.x" \
-H "Referer: https://10.x.x.x/index.htm" \
-H "Sec-Fetch-Dest: empty" \
-H "Sec-Fetch-Mode: cors" \
-H "Sec-Fetch-Site: same-origin" \
-H "User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.0.0 Safari/537.36" \
-H "X-Requested-With: XMLHttpRequest" \
-H "sec-ch-ua: \"Chromium\";v=\"122\", \"Not(A:Brand\";v=\"24\", \"Google Chrome\";v=\"122\"" \
-H "sec-ch-ua-mobile: ?0" \
-H "sec-ch-ua-platform: \"macOS\"" \

服务器大概率存在自动化脚本检测机制，以下是常见检测点和对应解决思路：

• CSRF令牌缺失：多数Web应用会在表单页面嵌入CSRF令牌，提交请求时必须携带该令牌（通常在请求参数或专属请求头中）。你的curl请求未包含任何表单数据，而Content-Length标注为32，明显不匹配，这很可能是403的核心原因。解决办法：登录后先访问表单页面（比如https://10.x.x.x/index.htm），解析页面中的CSRF令牌（通常在<input name="_csrf" value="XXX">这类标签内），然后在POST请求的表单数据中补充该令牌及其他必要参数，同时确保Content-Length与实际数据长度一致。

• 会话行为不连贯：浏览器登录后会按顺序加载页面、发起前置请求，脚本如果直接跳转到目标操作请求，可能被判定为异常会话。解决办法：复刻浏览器完整操作流程——登录成功后，先请求一次首页或表单页面，再发起目标提交请求，保持会话行为逻辑和浏览器一致。

• TLS/HTTP协议指纹差异：curl的TLS握手指纹、HTTP协议行为和真实浏览器存在差异，部分服务器会通过这些细节识别自动化工具。解决办法：使用支持模拟浏览器指纹的工具，比如curl-impersonate替代原生curl；或者直接用Playwright、Puppeteer这类无头浏览器，完全复刻浏览器的网络请求特征。

• 请求细节校验：服务器可能会检测Accept-Encoding的实际支持情况、请求间隔是否符合人类操作习惯等隐形标识。解决办法：用浏览器开发者工具录制从登录到提交的完整网络请求序列，逐一对标每个请求的头信息、参数、时序，确保脚本完全复刻。

• Cookie上下文校验：服务器返回的Cookie带有SameSite=Strict属性，需确保请求的域名、上下文严格符合该约束，不要随意修改Cookie的键值对，保证Cookie传递完全匹配服务器要求。

内容的提问来源于stack exchange，提问作者Faiz Ali