ASP.NET_SessionId访问被拒绝，Python requests调用REST API鉴权失败

产生原因 #

• 登录请求缺失必要校验字段：多数ASP.NET站点会校验登录请求的User-Agent、Referer、Origin头，以及__VIEWSTATE、__RequestVerificationToken这类ASP.NET专属防伪Token。Python发登录请求时未携带这类字段，后台即使返回登录成功的响应，也不会给对应ASP.NET_SessionId绑定登录权限，相当于会话未被后台真正认可。
• 登录请求参数格式不匹配：比如浏览器提交登录请求用application/json格式，Python代码错误使用application/x-www-form-urlencoded格式，或是参数名、参数大小写不符合要求，后台解析参数无报错但身份校验逻辑异常，也会出现返回成功但会话无权限的情况。
• Cookie属性不匹配：requests.session自动保存的ASP.NET_SessionId的Domain、Path属性和GetData接口要求的不一致，导致调用接口时没有带上正确的Cookie，后台自然判定未授权。
• 会话绑定校验不通过：部分ASP.NET站点会把ASP.NET_SessionId和客户端的User-Agent、IP地址做绑定，Python请求的User-Agent和登录请求不一致，或是IP发生变动，都会触发后台的会话失效逻辑。

解决方案 #

• 完全复刻浏览器登录请求：打开浏览器控制台网络面板，找到LogIn请求，将所有请求头、请求参数原封不动迁移到Python代码中，尤其是ASP.NET防伪Token，这类Token可以先请求一次登录页面，从HTML源码中提取后再携带到登录请求中。
• 统一全局请求头：给session设置固定的请求头，保证所有请求的核心标识字段一致，示例代码：

self.session.headers = {
    "User-Agent": "你浏览器的完整User-Agent字符串",
    "Referer": "站点登录页的完整URL",
    "Origin": "站点根域名地址",
    "Accept": "application/json, text/plain, */*"
}

• 手动修正Cookie属性：登录请求完成后，检查Cookie的Domain、Path属性，手动修正为和浏览器一致的配置，示例代码：

session_id = self.session.cookies.get("ASP.NET_SessionId")
self.session.cookies.set(
    "ASP.NET_SessionId",
    session_id,
    domain="你站点的域名（例如.example.com）",
    path="/"
)

• 校验登录响应实际结果：不要仅通过状态码200判定登录成功，打印登录响应的完整内容，确认是否包含登录成功的标识（比如跳转地址、用户信息字段），避免忽略后台返回的隐藏错误提示。

内容的提问来源于stack exchange，提问作者holocen