使用Refit调用返回403 Forbidden，HttpClient正常的原因咨询

核心问题出在请求体的序列化格式与服务器预期不匹配，以下是具体拆解：

• 默认序列化行为的差异
  Refit默认采用JSON格式序列化请求体（对应BodySerializationMethod.Json），此时请求头的Content-Type会被设置为application/json。而你用HttpClient成功的请求，应该是手动将参数组织成了表单URL编码格式（即key1=value1&key2=value2），并且设置了Content-Type: application/x-www-form-urlencoded。

• 服务器的校验逻辑导致403
  不少服务器（尤其是第三方服务或老旧系统）对请求格式有严格要求：

  • 部分服务器仅接受表单编码的请求体，当收到JSON格式的请求时，会直接判定为非法请求返回403（有些场景下会返回400，但权限校验模块也可能把格式不合法的请求归为无权限范畴）。
  • 还有些服务器的签名验证是基于请求体内容计算的，不同序列化方式生成的字符串完全不同，签名不匹配就会触发403。

• [Body(BodySerializationMethod.UrlEncoded)]的作用
  这个特性强制Refit做两件事：

  1. 将请求体序列化为表单URL编码格式
  2. 自动设置正确的Content-Type请求头
     这样构造出的请求就和你用HttpClient手动写的完全一致，服务器能正确解析请求体，校验通过后自然返回正常响应。

• 其他序列化方式无效的原因
  像Xml、Multipart或者默认的Json，生成的请求体格式和Content-Type都不符合服务器的预期，所以依然会被拒绝。

内容的提问来源于stack exchange，提问作者dotnetuser