Postman中如何同时配置两类Authorization授权避免互相覆盖

可行性结论 #

该需求完全可以实现，你遇到的互相覆盖问题，本质是默认配置下Basic Auth和Bearer授权都会占用Authorization请求头，后设置的内容会直接覆盖先写入的值。

具体操作方案 #

1. 自定义头分离方案（最推荐） #

不要将自定义token也放到Authorization头中，单独为它分配一个自定义请求头，比如X-App-Token，后端鉴权逻辑同步调整为从X-App-Token字段读取自定义token即可，该方案兼容性最高，不会出现框架/中间件不支持的问题。
以Nginx反向代理配置示例：

location / {
    # 开启Basic Auth认证
    auth_basic "Restricted Access";
    auth_basic_user_file /etc/nginx/.htpasswd;
    # 透传自定义token头到上游服务
    proxy_pass http://your_upstream_service;
    proxy_set_header X-App-Token $http_x_app_token;
}

2. 单头多值拼接方案 #

如果你必须将两类凭证都放在Authorization头中，可以按照RFC规范用逗号分隔多个授权值，后端鉴权逻辑自行拆分读取对应凭证即可。
请求头示例：

Authorization: Basic dXNlcjE6cGFzc3dvcmQ=, Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

注意该方案需要确认后端服务、中间件支持解析Authorization头的多值格式，部分老旧框架默认只会读取头的第一个值，需要额外开发拆分逻辑。

3. 客户端请求配置调整 #

如果是在客户端发起请求，直接单独设置两个头即可，不要用框架自带的统一授权配置：
以Axios请求示例：

axios.get('https://your-domain.com/api/path', {
  headers: {
    // 写入Basic Auth凭证
    'Authorization': 'Basic ' + btoa('your_username:your_password'),
    // 单独写入自定义token
    'X-App-Token': 'your_custom_token_value'
  }
})

常见问题排查 #

• 检查反向代理、CDN等中间件是否存在自动清理/覆盖自定义请求头的规则，必要时在中间件配置中添加自定义头的透传规则
• 后端鉴权逻辑不要默认只读取Authorization头的第一个值，按需拆分对应凭证即可

内容的提问来源于stack exchange，提问作者baca1616