哪些请求参数可区分请求来自Postman还是NodeJS服务端

问题解答 #

1. API服务端是如何识别出这两个不同的请求环境的？ #

即使你手动对齐了可见的请求头和请求体，服务端仍可以通过多层传输特征识别客户端差异，最核心的识别依据是传输层和会话层的客户端指纹，不需要依赖应用层的请求头内容。

2. Postman是否基于无头浏览器运行，从而可以骗过校验浏览器运行环境的服务端？ #

不是。Postman是基于Electron开发的桌面应用，底层请求走的是自研的HTTP客户端栈，没有搭载无头浏览器内核。它能通过部分浏览器环境校验，本质是其请求特征（包括TLS指纹、头顺序等）的默认配置更贴近主流浏览器，而Node.js默认HTTP模块的特征和浏览器差异较大，更容易被识别。

3. Postman是否是完全等价于curl的请求工具，而NodeJS请求不具备该特性？ #

Postman和curl并不完全等价，二者的底层HTTP实现、TLS指纹、默认参数配置都存在差异。Node.js请求也可以实现和Postman完全一致的请求效果，只是默认配置的差异导致容易被服务端识别，调整底层配置对齐特征后即可达到相同效果。

4. 已知两个请求的请求头和请求体完全一致，还有哪些变量可能被用来区分Postman请求与NodeJS请求？ #

常见的区分变量包括：

• TLS/JA3指纹：不同客户端的TLS加密套件协商顺序、扩展字段、椭圆曲线配置都有差异，这是目前最主流的客户端识别手段
• HTTP请求头顺序：即便头的键值完全一致，不同客户端发送请求头的顺序不同也会被服务端识别，Node.js默认的HTTP头发送顺序和Postman存在差异
• HTTP协议版本：Postman默认优先使用HTTP/2，而低版本Node.js默认使用HTTP/1.1，协议版本差异也会被服务端检测
• 出口网络差异：如果Postman走了系统代理而Node.js请求未走代理，二者出口IP、网络链路的差异会导致服务端返回不同的响应
• TCP栈特征：不同运行环境的TCP初始窗口、TTL、选项配置存在差异，部分高防护的服务端会采集这些特征做客户端识别
• Cookie自动携带逻辑差异：Postman会自动携带同域名下之前存储的历史Cookie，即使你在请求头配置页没有看到，实际发送时也会被自动追加；而Node.js的axios/node-fetch默认不会自动维护Cookie Jar，需要手动开启对应功能才会携带历史Cookie

内容的提问来源于stack exchange，提问作者Jeremy Gottfried