影刀RPA新手教程：请求头Header完全指南——为什么请求被拒绝以及怎么解决

影刀RPA新手教程：请求头Header完全指南——为什么请求被拒绝以及怎么解决

你好，我是林焱。

前几篇我们学会了GET和POST请求的基本操作。

但很多新手做到这里会遇到一个共同的问题：请求被拒绝。

同样的URL，在浏览器里能打开，在影刀里却返回401、403或空内容。

这个问题90%出在请求头Header上。

一、请求头是什么

请求头就像你去餐厅吃饭时自带的一些身份信息。

服务员看到你穿西装，可能会给你递高级菜单。

服务员看到你说英语，可能会叫来会英语的店员。

服务员看到你有会员卡，可能会给你打折。

HTTP请求头就是服务器用来判断"你是谁、你想干什么、你能接受什么"的额外信息。

二、常见的请求头有哪些

Content-Type：告诉服务器你发的是什么格式的数据。

User-Agent：告诉服务器你是什么浏览器或设备。

Authorization：告诉服务器你是否有权限访问。

Accept：告诉服务器你能接受什么格式的返回。

Cookie：携带你的登录状态。

Referer：告诉服务器你是从哪个页面跳转过来的。

三、案例主线：一个需要Authorization头的API

我们今天用一个真实场景来学习请求头。

假设公司有一个内部数据查询API，只有登录后才能访问。

登录后拿到一个Token：“abc123xyz789”。

访问数据接口时，必须在请求头里带上：

Authorization: Bearer abc123xyz789

没带这个头，服务器直接返回401，表示没有权限。

带了之后，服务器验证通过，返回正常数据。

四、安装与新建流程

打开影刀，新建流程"请求头测试"。

拖入一个"HTTP请求"指令。

请求方法选GET，URL填写：

https://api.example.com/internal/data

先不填任何请求头，运行看看结果。

如果接口需要Authorization，你会看到返回401或"未授权"。

五、元素定位：从网页获取Token

Token通常不是凭空来的，需要先登录。

用影刀的"打开网页"指令打开登录页面。

用"输入文本"指令填写用户名和密码。

用"点击元素"指令点击登录按钮。

登录成功后，Token可能藏在页面某个地方，也可能在浏览器Cookie里。

如果页面有隐藏字段，用XPath获取：

//input[@type="hidden"]/@value

或者用"执行JS脚本"指令：

returnlocalStorage.getItem("token");

六、变量和数据类型：Token怎么存

把Token保存到字符串变量"访问令牌"中。

这个变量后续要在请求头里使用，格式是：

Authorization: Bearer {{访问令牌}}

注意Authorization的值是"Bearer "加一个空格，再加Token。

这个空格不能漏，我第一次就是漏了空格导致验证失败。

七、在影刀里配置请求头

点击"HTTP请求"指令，在属性区找到"请求头"。

影刀支持两种写法。

写法一：文本格式

Content-Type: application/json Authorization: Bearer {{访问令牌}}

写法二：字典格式

{"Content-Type":"application/json","Authorization":"Bearer {{访问令牌}}"}

两种写法都可以，看你自己习惯哪种。

八、流程控制：根据返回状态做判断

请求头发出去后，要用If判断验证是否成功。

条件一：判断状态码是否等于200。

条件二：判断返回内容是否包含"data"字段。

如果成功，继续解析JSON。

如果失败，打印错误日志，比如：

请求失败，状态码：{{状态码}}，响应：{{响应内容}}

九、网页自动化：验证请求头是否生效

有时候用浏览器可以访问，但影刀不行，因为浏览器自动带了很多请求头。

用浏览器的开发者工具，按F12打开网络面板，重新请求一次。

找到那个请求，右键复制"cURL"或"复制请求头"。

把这些请求头一条一条对照填到影刀里，尤其是User-Agent、Cookie、Referer。

十、数据处理：解析返回结果

请求成功后，返回的数据通常是JSON格式。

用"JSON解析"指令转成字典，再用"获取字典值"取出字段。

比如：

订单数 = 数据字典["totalOrders"] 用户数 = 数据字典["totalUsers"]

然后把结果写入Excel或数据库。

十一、鼠标键盘与图像：绕过复杂验证

有些网站的权限验证不是简单的Token，而是需要扫码、短信验证码或滑动条。

这种情况先用网页自动化完成验证，再把得到的Cookie或Token传给HTTP请求。

"图像识别"可以帮你定位二维码或滑动块。

"鼠标点击"和"键盘输入"可以模拟人工操作。

十二、进阶技能：动态请求头

有些接口每次请求都需要不同的签名或时间戳。

比如请求头里需要带：

X-Timestamp: 1718000000 X-Sign: 经过计算的签名

这种动态值可以用Python代码块生成，再传给HTTP请求。

后面几篇会讲Python协同，到时候我们会再回来这里做一个升级。

十三、平台实战：把带请求头的流程发布

流程调通后，发布到影刀云调度。

定时每天早上跑一遍，查询前一天的数据。

注意：Token可能有过期时间，如果流程运行一段时间后报401，说明Token过期了。

需要在流程里加登录步骤，每次运行先获取新的Token。

十四、系统联动：数据同步到Excel和数据库

拿到数据后，同步写入本地Excel和企业数据库。

影刀有"MySQL执行SQL"指令，可以执行INSERT语句。

示例：

INSERTINTOdaily_stats(order_count,user_count,report_date)VALUES({{订单数}},{{用户数}},'{{今天日期}}')

十五、工程化规范：把Header单独管理

请求头里的Authorization、Token、签名等敏感信息，不要硬编码在指令里。

建议放在"全局变量"或"配置文件"里，流程里引用变量。

这样换一个环境或账号，只需要改一个地方。

另外，不同接口的请求头可能不一样，建议给每个接口建一个变量，比如"数据接口Header"、“用户接口Header”。

十六、速查表与报错

401 Unauthorized：没权限，检查Authorization头是否填写正确。

403 Forbidden：权限被拒绝，可能是Token过期或IP受限。

404 Not Found：URL错了，跟请求头无关。

400 Bad Request：请求头里的Content-Type和请求体格式不匹配。

500 Internal Server Error：服务器内部错误，稍后重试。

十七、我踩过的坑：请求头格式写错

我曾经把请求头写成：

Authorization:Bearer abc123

少了Bearer后面的空格，服务器一直报401。

后来才知道标准是：

Authorization: Bearer abc123

这种空格问题用肉眼很难发现，建议直接从文档复制，不要手打。

十八、完整请求头配置示例

假设Token是"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9"。

请求头配置如下：

Content-Type: application/json Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) Accept: application/json

请求URL：

https://api.example.com/internal/data

请求方法：GET

保存结果至：接口响应

十九、请求头不是可选的

很多新手觉得请求头是"高级配置"，能不填就不填。

其实这是错误的。

Content-Type在很多接口里是必填的，不填服务器就不知道你怎么编码数据。

User-Agent在反爬场景里很重要，不填可能被当成机器人直接拒绝。

Authorization在需要登录的接口里是核心凭证，不填根本进不去。

二十、遇到拒绝请求先检查三件事

第一件事：URL对不对。

第二件事：请求方法对不对，GET和POST有没有搞反。

第三件事：请求头有没有漏掉，尤其是Authorization和Content-Type。

把这三件事检查完，80%的权限问题都能解决。

我在排查这类问题时，会把不同接口的请求头模板整理到 home.linyan.cloud，标注哪些字段必填、哪些会过期。

这样后续维护流程轻松很多，不用每次翻接口文档。

作者：林焱

#影刀RPA #RPA教程 #请求头 #Header #Authorization #401报错 #API权限 #零基础学RPA