使用WinHttp.WinHttpRequest.5.1的VBA请求遇Basic Auth 401错误求助

代码潜在问题 #

1. 字符串连接符规范：VBA中字符串拼接优先使用&而非+，虽然当前场景下+不会直接触发错误，但+在混合字符串与数值时会引发类型异常，建议统一替换为&：

   encode = Base64Encode(username & ":" & password)
   req.setRequestHeader "Authorization", "Basic " & Base64Encode(username & ":" & password)
   

2. 内置认证方法替代手动头：WinHttpRequest提供了原生Basic认证实现，比手动拼接Authorization头更可靠，能避免格式细节（如空格、隐式编码问题）导致的认证失败。可替换原有认证头代码为：

   Const HTTPREQUEST_SETCREDENTIALS_FOR_SERVER = 0
   ' 打开请求后添加此代码，替换原Authorization头设置行
   req.SetCredentials username, password, HTTPREQUEST_SETCREDENTIALS_FOR_SERVER
   

调试步骤 #

• 验证认证字符串准确性：将Debug.Print encode输出的Base64字符串用在线工具解码，确认还原结果是username:password的准确内容（无多余空格、特殊字符未丢失）。
• 抓包对比请求头：用Fiddler抓取Access发送的HTTP请求，检查Authorization头格式是否完全合规（Basic 后紧跟正确的Base64字符串，无换行或多余字符）；同时对比Postman/curl成功请求的头信息，排查是否缺少Content-Type等API要求的额外字段。
• 静态请求测试：直接在代码中硬编码从Postman成功请求中复制的Authorization头值，观察是否能得到200响应，以此区分是认证字符串生成问题还是其他请求配置问题。
• API规则确认：核实目标API的Basic Auth是否有特殊要求，比如用户名/密码是否需URL编码（标准Basic Auth无需，但部分自定义实现可能要求）、是否限制HTTPS版本（可手动强制启用TLS协议：req.Option(HTTPREQUEST_OPTION_SECURE_PROTOCOLS) = 32 + 64 + 128）。
• 重定向问题排查：若API存在重定向，WinHttpRequest默认跟随但可能丢失认证信息，可手动配置：

  req.Option(HTTPREQUEST_OPTION_FOLLOW_REDIRECTS) = True
  req.Option(HTTPREQUEST_OPTION_REDIRECT_POLICY) = HTTPREQUEST_REDIRECT_POLICY_ALLOW_ALL
  

内容的提问来源于stack exchange，提问作者psolomon