Netflix登录接口返回INCORRECT PASSWORD错误排查求助

问题现象 #

• 开发Netflix登录快捷应用，熟悉平台Cookies机制及认证逻辑，但发起POST登录请求时出现异常：
  • 使用正确账号密码请求，接口返回【INCORRECT PASSWORD】；使用随机账号密码则返回【Can't Find The email】，说明Cookies及基础认证流程无问题
  • 用Fiddler调试时，浏览器登录也返回【INCORRECT PASSWORD】，关闭Fiddler后登录恢复正常
  • 正常登录应返回302重定向状态码，但当前始终返回200并携带错误提示
  • 已尝试Python、PHP、C#（RestClient）、VB.NET（XNet）等多种语言，问题表现一致

相关代码（VB.NET） #

Using req As HttpRequest = New HttpRequest()
req.UserAgent = Http.ChromeUserAgent
req.AddHeader("cookie", "flwssn=" + flwssn + "; nfvdid=" + nfvdid + "; SecureNetflixId=" + SecureNetflixId + "; NetflixId=v%3D2%26ct" + NetflixId + "; memclid=" + memclid + "; OptanonConsent=isGpcEnabled=0&datestamp=Tue+Jan+31+2023+02%3A09%3A40+GMT%2B0300&version=202301.1.0&isIABGlobal=false&hosts=&consentId=6d05599e-f22f-47e5-95cc-22cc006d4c6e&interactionCount=1&landingPath=NotLandingPage&groups=C0001%3A1%2CC0002%3A1%2CC0003%3A1%2CC0004%3A1&AwaitingReconsent=false")
req.AddHeader("accept-language", "en-US,en;q=0.9")
Dim postdata As String = "userLoginId=" + email + "&password=" + password + "&rememberMe=true&flow=websiteSignUp&mode=login&action=loginAction&withFields=rememberMe%2CnextPage%2CuserLoginId%2Cpassword%2CcountryCode%2CcountryIsoCode%2CrecaptchaResponseToken%2CrecaptchaError%2CrecaptchaResponseTime&authURL=" + auth + "&nextPage=&showPassword=&countryCode=%2B49&countryIsoCode=de"
Dim response = req.Post("https://www.netflix.com/de-en/login", postdata, "application/x-www-form-urlencoded")
Dim statuscode = response.statuscode
end using

排查方向 #

1. SSL/代理特征匹配问题（与Fiddler现象强关联） #

• Fiddler作为中间人代理会替换SSL证书，Netflix可能检测到证书异常触发验证机制，说明你的请求SSL指纹与浏览器不匹配：
  • 不同HTTP库的SSL/TLS握手实现（如Cipher Suite顺序、TLS扩展支持）和浏览器存在差异，被平台识别为非合法客户端
  • 检查所用HTTP库是否支持模拟浏览器的SSL指纹，或切换到更贴近浏览器实现的库（如C#的HttpClient搭配SocketsHttpHandler自定义SSL参数）
• 确认请求是否正确处理SNI（Server Name Indication），部分网站依赖SNI识别合法请求

2. 请求参数有效性问题 #

• authURL参数是登录页加载时生成的一次性令牌，若使用过期或无效值，会直接导致验证失败，需确保每次登录前从登录页GET请求中获取最新的authURL
• 表单中recaptchaResponseToken等字段，即使无需验证，也需保持和浏览器请求一致的参数存在性（比如空值也要保留参数项）
• 确认countryCode、countryIsoCode与Cookies对应的地区一致，地区不匹配可能触发拦截

3. 请求头缺失或不一致 #

• 补充浏览器登录时携带的关键请求头：
  • Referer：必须设置为https://www.netflix.com/de-en/login
  • Origin：设置为https://www.netflix.com
  • Accept：完整的浏览器Accept头（例：text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8）
  • Upgrade-Insecure-Requests：设置为1
• 检查NetflixId的拼接格式，代码中NetflixId=v%3D2%26ct + NetflixId可能存在格式错误，建议直接复制浏览器中的完整NetflixId值测试

4. 反爬行为特征检测 #

• Netflix会检测请求链路完整性：需先模拟GET请求登录页面，获取最新Cookies及参数后再发起POST登录，不能直接复用旧的Cookies
• 确保请求间隔、行为模式贴近真实浏览器，避免过于频繁的请求触发拦截

内容的提问来源于stack exchange，提问作者Ayio Httiu