Postman模拟光伏逆变器GET请求遭401认证失败排查

对比浏览器的成功请求和Postman的失败请求，主要有以下几个问题导致认证失败：

1. Digest Auth的Response值被截断 #

浏览器请求中的response是完整的哈希值：

response="a09ac5fe504563040d0ff8acfd68653e"

而Postman的response字段明显被截断，仅显示a09ac5fe5，不完整的哈希值无法通过服务器的Digest验证，这是最直接的原因。

2. 额外的algorithm="MD5"字段 #

浏览器的Authorization头中没有algorithm="MD5"参数，Postman却自动添加了该字段。部分服务器对Digest Auth的参数遵循严格规范，额外的未约定参数会被视为无效请求，导致认证失败。

3. Nonce有效性问题 #

Digest Auth中的nonce是服务器生成的一次性验证值，通常有过期时间或与浏览器会话绑定。直接复用浏览器请求中的旧nonce，大概率已失效，服务器会拒绝使用过期nonce的请求。

4. Nonce计数（nc）不匹配 #

nc=00000022是同一个nonce下的请求计数，服务器会记录该值并要求后续请求的nc递增。Postman复用了浏览器的nc值，但服务器已处理过该计数的请求，再次提交会被判定为重复请求，导致认证失败。

5. 请求头差异导致的校验失败 #

• Postman添加了浏览器没有的Postman-Token字段；
• 浏览器包含Referer: http://192.168.0.5/，Postman无此字段，部分服务器会校验Referer防止跨站请求；
• 两者的User-Agent、Accept、Accept-Encoding字段均存在差异，部分设备的Web服务器会对这些字段做严格校验，不符合则拒绝请求。

解决建议 #

• 重新获取有效Nonce：先发送不带Auth的请求，让服务器返回401并携带新的nonce，再用新nonce计算正确的response哈希值；
• 严格复制浏览器的请求头：在Postman中完全复制浏览器的所有请求头（包括User-Agent、Referer、Accept等），去掉Postman自动添加的Postman-Token和algorithm字段；
• 正确计算Digest参数：确保response哈希值完整，nc值使用当前请求的递增计数，cnonce使用随机生成的有效值（而非"NaN"）；
• 使用Postman的"Import from Raw"功能：直接导入浏览器抓取的完整请求报文，避免手动输入导致的错误。

内容的提问来源于stack exchange，提问作者FFox