Postman升级后POST请求返回403 Forbidden问题求助

新版本自动添加_xsrf Cookie的原因 #

Postman 9.x系列开始默认开启了自动CSRF令牌处理机制，当识别到请求是POST、PUT这类非GET的修改型请求时，会自动生成或尝试从会话中获取_xsrf令牌，并添加到Cookie请求头里。这个设计是为了模拟浏览器发送请求时的CSRF防护逻辑，适配那些要求校验CSRF令牌的后端服务。

403 Forbidden的触发原因 #

• 目标服务后端启用了CSRF校验，但Postman自动生成的_xsrf令牌并非服务端认可的有效令牌——比如服务端的令牌需要和用户登录会话绑定，或者要从特定接口主动获取，自动生成的令牌自然通不过校验。
• 部分服务端的防火墙、反向代理（比如Nginx、Cloudflare）会拦截带有陌生Cookie头的请求，这个自动添加的_xsrf Cookie被判定为异常请求，直接返回403。

解决办法 #

• 移除单个请求的自动Cookie头：打开对应请求的「Headers」标签，找到自动添加的Cookie: _xsrf=...条目，点击右侧删除按钮即可。
• 全局禁用自动CSRF处理：进入Postman的「设置」→「通用」，找到「Automatically add CSRF tokens」选项，取消勾选，之后所有请求都不会自动添加这类令牌。
• 适配服务端CSRF规则（如果需要）：如果服务端确实要求CSRF令牌，先从服务端指定接口（比如登录接口返回的响应头/响应体）获取有效令牌，再手动添加到请求的Cookie或X-XSRF-TOKEN请求头中（具体看服务端要求）。

内容的提问来源于stack exchange，提问作者Gil