使用Ktor请求CloudFlare API时遭遇403 Forbidden错误的解决咨询

CloudFlare的防护机制会基于请求特征（比如请求头、客户端标识）做验证，Ktor和Retrofit（底层依赖OkHttp）的默认请求配置差异是导致403的核心原因。以下是具体解决步骤：

1. 抓包对比请求头差异 #

先用Charles、Fiddler或Android Studio的Network Inspector分别抓取Retrofit和Ktor的请求，重点对比以下字段：

• User-Agent
• Accept
• Accept-Encoding
• Content-Type（POST请求时）
• 其他Ktor默认添加但Retrofit没有的头（比如Accept-Charset、X-Ktor-*系列头）

2. 对齐核心请求头 #

在Ktor的HttpClient配置中，通过defaultRequest设置和Retrofit完全一致的核心请求头：

val client = HttpClient(Android) {
    defaultRequest {
        // 替换为你抓包得到的Retrofit的User-Agent
        header("User-Agent", "okhttp/4.10.0")
        // 对齐Accept头
        header("Accept", "application/json, */*;q=0.5")
        // 对齐Accept-Encoding，确保支持gzip/deflate/br
        header("Accept-Encoding", "gzip, deflate, br")
        // 如果是POST请求，对齐Content-Type
        header("Content-Type", "application/json; charset=utf-8")
        
        // 移除Ktor默认添加的多余头
        headers.remove("Accept-Charset")
    }
}

3. 移除Ktor默认的冗余请求头 #

如果抓包发现Ktor有额外的请求头（比如X-Ktor-Client-Version），可以通过HttpSend拦截器全局移除：

install(HttpSend) {
    intercept { request ->
        val filteredHeaders = request.headers.filter { (name, _) ->
            // 保留需要的头，排除Ktor专属的冗余头
            !name.startsWith("X-Ktor-") && name != "Accept-Charset"
        }
        proceed(request.copy(headers = Headers(filteredHeaders)))
    }
}

4. 对齐其他客户端配置 #

• Cookie管理：如果Retrofit自动处理Cookie，Ktor需要配置Cookie存储：

install(HttpCookies) {
    storage = AcceptAllCookiesStorage()
}

• 内容编码：确保Ktor启用和OkHttp一致的内容压缩：

install(ContentEncoding) {
    gzip()
    deflate()
    br()
}

5. 特殊情况：请求头顺序 #

极少数情况下CloudFlare会校验请求头的顺序，若上述步骤无效，可以在拦截器中手动调整头的顺序，和Retrofit完全一致：

install(HttpSend) {
    intercept { request ->
        val orderedHeaders = buildHeaders {
            // 按Retrofit的顺序添加头
            append("User-Agent", request.headers["User-Agent"])
            append("Accept", request.headers["Accept"])
            append("Accept-Encoding", request.headers["Accept-Encoding"])
            // 依次添加其他必要头
        }
        proceed(request.copy(headers = orderedHeaders))
    }
}

通过以上步骤对齐Ktor和Retrofit的请求特征，就能绕过CloudFlare的防护检测。

内容的提问来源于stack exchange，提问作者Mehmet Peker