Python基于JWT认证登录后请求搜索页返回401未授权问题排查

• 请求URL格式错误
  代码中定义的siteSearch = "somesite/filters/search"是缺少HTTPS协议前缀的相对路径，Requests处理这类地址时会基于上一次请求的路径自动拼接解析，很容易出现实际请求的域名、路径和浏览器实际请求不一致的情况。Cookie是严格绑定域名、协议、路径作用域的，一旦请求地址解析错误，Session不会自动携带对应作用域的Cookie，直接触发401。
  正确写法是补全带HTTPS前缀的完整URL，和浏览器实际发起的请求地址完全对齐。

• JWT令牌不匹配
  不少站点的登录接口返回的JWT是面向移动端的临时令牌，Web端实际使用的JWT会在登录成功后，由前端自动调用独立的令牌刷新接口生成。你可以逐字符对比Chrome开发者工具中，搜索请求携带的authorization头值，和你从登录响应中解析得到的resultJwtToken是否完全一致——如果不一致，说明你持有的是权限范围不匹配的令牌，自然无法访问搜索接口。
  同时校验JWT请求头格式：确认Bearer和令牌值之间仅保留单个空格，没有多余的转义字符、空格，符合标准认证头格式。

• Cookie与CSRF校验缺失
  Requests的Session自动管理Cookie的逻辑本身没有问题，但容易出现两类漏带情况：

  1. 登录响应返回的Cookie存在Domain、Path作用域限制，如果后续请求的域名、路径不在Cookie的作用域范围内，Session不会自动携带对应Cookie。你可以直接打印Session中存储的所有Cookie，和Chrome开发者工具中对应域名下的Cookie逐字段对比，找出缺失的关键项。
  2. 带JWT校验的接口通常会配套CSRF双提交校验逻辑：仅在authorization头携带令牌是不够的，还需要在请求头中增加与Cookie中存储的CSRF令牌同值的X-CSRF-Token字段，少了这个字段哪怕令牌完全正确，也会被后端判定为非法请求返回401。

• 请求头不匹配触发WAF拦截
  你提到对比过Postman和Chrome的请求，但容易漏掉部分浏览器自动携带的安全类请求头，比如sec-ch-ua、sec-fetch-site、sec-fetch-mode这类字段。很多站点的WAF会对这些头做基础校验，一旦发现请求头和真实浏览器存在差异，会直接返回401拦截，根本走不到后端的权限校验环节。
  建议直接从Chrome开发者工具的网络面板中，右键点击能正常工作的搜索请求，选择「复制为cURL(bash)」，再将cURL格式的请求转换为Requests代码，保证所有请求头、参数、Cookie完全和浏览器一致，排除头不匹配导致的拦截。

• 令牌与会话未绑定
  部分后端的JWT校验逻辑不会仅校验令牌签名的合法性，还会把令牌和登录时生成的会话ID绑定。如果Session没有正确携带登录时返回的会话Cookie，就算JWT完全正确，后端也会因为校验不到对应的会话关系返回401。

• 为siteSearch变量补全完整的HTTPS前缀URL
• 原代码中searchResult = response是错误的，这里的response是登录接口的返回值，需要修正为searchResult = responseSearch才能拿到搜索接口的响应内容

内容的提问来源于stack exchange，提问作者HotFrost