IE为何重复发送无Session Cookie、带不同User Agent的请求？

嘿，这个问题我之前排查过类似的情况——服务器明明返回200的Excel文件，浏览器却没弹出下载框，还紧接着发了个不带Session Cookie、换了UA的重复请求，直接导致会话验证失败，太闹心了。咱们从几个方向拆解下可能的原因和解决办法：

一、先定位第二次请求的发起方 #

首先得搞清楚这个重复请求是哪儿来的，打开浏览器F12的Network面板，过滤GET请求看第二次请求的Initiator字段：

• 如果是chrome-extension/Firefox插件：大概率是广告拦截、下载管理类插件在瞎搞，拦截了第一次下载请求后又重新发起了不带Cookie的请求；
• 如果是script/XMLHttpRequest：那就要检查页面里的下载逻辑，是不是有错误的重试代码——比如判断请求状态的逻辑写错了，误以为第一个请求失败，就又发了一次；
• 如果是浏览器本身发起的（other）：可能是浏览器的安全策略触发了二次验证，比如怀疑第一次请求的响应有风险。

二、为什么第一个200请求没触发下载？ #

服务器返回200但浏览器不下载，90%是响应头配置出问题了：

• 必须确保响应头包含正确的类型和下载指令：

  Content-Type: application/vnd.openxmlformats-officedocument.spreadsheetml.sheet
  Content-Disposition: attachment; filename="exported-data.xlsx"
  

  要是文件名有中文，记得加UTF-8编码：filename*=UTF-8''%E6%88%91%E7%9A%84%E6%96%87%E4%BB%B6.xlsx，不然有些浏览器识别不了；
• 检查Content-Length是否和实际文件大小一致，如果长度不匹配，浏览器会觉得响应不完整，直接放弃下载；
• 别乱设Cache-Control: no-cache这类头，有些浏览器会因为这个拒绝缓存响应，反而触发重试。

三、为什么第二次请求不带Session Cookie？ #

这个通常和浏览器的Cookie策略或者请求发起方式有关：

• 检查你的Session Cookie有没有设置SameSite属性？如果设成了Strict/Lax，而第二次请求的发起方式不符合SameSite规则（比如是插件发起的跨站请求），浏览器就不会携带Cookie；
• 如果下载是在iframe里触发的，某些浏览器的安全策略会限制iframe内的下载请求，重新发起的请求就不带Cookie了；
• 另外，要是第一次请求是通过AJAX发起的，而不是直接的<a>标签跳转，浏览器可能不会触发下载，反而某些脚本会重试请求，还忘了带Cookie。

四、快速排查验证步骤 #

• 先禁用所有浏览器插件，再测试下载，看重复请求会不会消失；
• 用curl模拟第一次请求（带上Session Cookie）：

  curl -b "SESSIONID=your-session-id" -o test.xlsx "https://your-app.com/download?params=xxx"
  

  看能不能正常下载文件，验证服务器响应没问题；
• 把下载按钮改成直接打开新标签页的<a target="_blank">，避开页面内脚本的干扰，测试是否能正常触发下载。

内容的提问来源于stack exchange，提问作者FrankPl