WooCommerce REST API 401授权问题：浏览器可访问Postman调用失败

我之前也碰到过一模一样的问题——浏览器直接带密钥访问API没问题，但用Postman发请求就报401未授权，折腾了好一会儿才找到原因，给你几个排查方向和解决办法：

1. 优先检查Postman的认证方式设置 #

WooCommerce API支持两种认证方式，别搞混了：

• 方式一：URL查询参数
  确保你在Postman的「Params」标签里准确添加了两个参数：
  • consumer_key：值完全复制你的ck_xxx密钥，不要有空格或多余字符
  • consumer_secret：值完全复制你的cs_xxx密钥
    填完后Postman会自动把参数拼到URL后面，和你浏览器里的地址保持一致，再发送请求试试。
• 方式二：Basic Auth（更推荐）
  很多服务器会对URL里的敏感密钥做拦截，换成Basic Auth反而更稳定：
  1. 去掉URL里的consumer_key和consumer_secret参数
  2. 切换到Postman的「Authorization」标签
  3. 认证类型选择「Basic Auth」
  4. Username填你的consumer_key，Password填你的consumer_secret
  5. 直接发送请求，大概率能解决问题

2. 排查Postman的请求细节问题 #

• 检查参数编码：如果你的密钥里有特殊字符（比如+、/），浏览器会自动URL编码，但Postman有时候可能没处理。可以把浏览器里的编码后的密钥直接复制到Postman里试试。
• 模拟浏览器请求头：有些WordPress安全插件会拦截非浏览器的请求，你可以在Postman的「Headers」标签里添加和浏览器一致的User-Agent头，比如：

  User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36
  

• 关闭SSL证书验证（临时测试）：如果你的网站用了自签SSL证书，Postman可能因为证书不信任导致请求异常（虽然401是授权问题，但不妨试试）。在Postman的设置里找到「SSL certificate verification」，临时关闭后再请求。

3. 服务器端的排查 #

• 禁用安全插件：Wordfence、iThemes Security这类插件经常会误拦截API请求。临时禁用所有安全插件，再用Postman测试，如果能成功，就去插件的规则里添加允许WooCommerce API请求的白名单，或者把你的IP加入信任列表。
• 检查.htaccess规则：自定义的.htaccess规则可能会修改或拦截API请求。暂时替换成WordPress默认的.htaccess内容，测试是否恢复正常：

  # BEGIN WordPress
  <IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteBase /
  RewriteRule ^index\.php$ - [L]
  RewriteCond %{REQUEST_FILENAME} !-f
  RewriteCond %{REQUEST_FILENAME} !-d
  RewriteRule . /index.php [L]
  </IfModule>
  # END WordPress
  

按照这个顺序一步步排查，基本能解决问题。

内容的提问来源于stack exchange，提问作者Jim