Laravel 9中CSRF Token在Postman 10.3中失效问题排查

1. Token提取脚本有误 #

• 检查Pre-request Script里的代码，确认是否正确从响应头/响应体、Cookie中提取Token。比如网站把Token存在Set-Cookie的csrf-token字段里，你却用了错误的字段名去获取，或者解析响应体时用错了JSON路径。
• 核对脚本里设置的环境变量名，和你在环境中配置的变量名完全一致，比如脚本写pm.environment.set("csrf_token", tokenVal)，环境里就得有csrf_token这个变量。

2. 请求执行顺序不对 #

• CSRF Token需要先通过前置请求（比如访问首页、登录页面）获取，再携带它发目标请求。如果你直接运行目标请求，没先跑获取Token的请求，自然拿不到有效Token。
• 用Collection Runner时，要确保获取Token的请求排在目标请求前面，或者在目标请求的Pre-request Script里加入发送前置请求的代码。

3. Cookie未同步 #

• 很多网站的CSRF Token和Session Cookie绑定，Postman可能没自动同步Cookie。去请求底部的Cookies面板看看，有没有目标网站的Session Cookie，没有的话手动添加或者开启请求设置里的Automatically follow redirects。

4. Token传递位置错了 #

• 不同网站要求的Token传递方式不一样：有的要放X-CSRF-Token请求头，有的要放在表单参数里，还有的要拼在URL里。别照搬教程，得和目标接口的实际要求匹配。
• 检查请求里的变量引用是否正确，比如用{{csrf_token}}而不是写错变量名。

5. 环境变量没激活 #

• 确认你配置的环境是当前Postman右上角选中激活的环境，要是选了别的环境，变量根本不会生效。
• 检查变量作用域：如果是Collection级变量，要确保请求属于这个Collection；全局变量的话，看看有没有被其他请求覆盖。

6. 网站额外验证拦截 #

• 部分网站会校验Referer或Origin头，你得在请求头里加上和目标网站域名一致的Referer值，不然Token对了也会被拒。
• 有些网站会绑定Token和IP、User-Agent，检查Postman的User-Agent是否和浏览器一致，或者有没有被网站的反爬机制拦截。

内容的提问来源于stack exchange，提问作者Brajan Marković