Postman发送form-data请求正常，Axios请求返回无效PHPSESSID原因排查

以下是几种最可能的原因及对应的解决方式：

• 请求头不匹配
  Postman会自动填充符合浏览器规范的请求头（比如User-Agent、Accept），并且发送form-data时会自动生成带正确boundary的Content-Type头。而Axios/fetch如果配置不当，可能缺少这些关键头，或者Content-Type格式错误，导致后端无法正确解析请求，进而生成无效的PHPSESSID。

  • 解决：复制Postman中除Postman-Token外的所有请求头到Axios/fetch配置里；发送form-data时不要手动设置Content-Type，让工具自动生成带boundary的头。

• form-data序列化错误
  Axios如果直接传递普通JSON对象作为参数，不会自动序列化为标准的multipart/form-data格式，字段编码、分隔符都不符合后端要求，导致请求无效。

  • 解决：用原生FormData对象构建参数，示例代码：

// Axios示例
const formData = new FormData();
formData.append('字段名1', '值1');
formData.append('字段名2', '值2');

axios.post('/你的登录接口', formData, {
  withCredentials: true,
  headers: {
    'User-Agent': '和Postman一致的UA'
  }
});

• Cookie未正确携带
  Postman会自动保存并在后续请求中携带返回的PHPSESSID Cookie，但Axios/fetch默认不开启跨域携带Cookie的功能（跨域场景下），或者同域请求也未配置Cookie传递，导致后端无法关联session，生成新的无效ID。

  • 解决：Axios中开启withCredentials: true；fetch中添加credentials: 'include'参数。

• 后端的请求验证逻辑
  部分后端会校验请求的Referer、Origin头，或者识别非浏览器请求特征（比如Axios默认的User-Agent），判定请求为非法，返回的session不被授权。

  • 解决：完全复刻Postman的请求头，确保所有非Postman专属的头都和Postman一致，让后端认为这是合法的浏览器请求。

• 请求路径/方法的细微差异
  检查Axios/fetch的请求路径是否和Postman完全一致（比如是否多了斜杠、大小写错误），请求方法是否为POST，这些细节错误可能导致后端路由不匹配，返回无效的session。

内容的提问来源于stack exchange，提问作者Murad Rahmanov