网易云音乐无法直接用requests+正则/BS4爬取——因其采用纯AJAX动态渲染且核心接口强制校验AES+RSA加密参数与登录态，未授权请求返回400/403，高频访问触发滑块验证；可行方案为逆向JS加密逻辑或使用mitmproxy代理真实浏览器请求截获数据。
不能直接爬取网易云音乐的歌单及评论数据——它的核心接口全部强制校验加密参数和登录态，未授权请求会返回 400 或 403，且高频请求会触发滑块验证或封 IP。
为什么 requests + 正则/BeautifulSoup 会失败
网易云音乐前端早已弃用服务端渲染，所有歌单列表、歌曲详情、评论都由 AJAX 动态加载。页面 HTML 中几乎不包含真实数据，只有一段初始化脚本和空容器。你用 requests.get() 拿到的源码里搜不到任何歌单名或评论内容。
常见错误现象：
- 抓到的
response.text里只有div#app和一堆script标签，评论区域是空的 - 手动拼
https://music.163.com/weapi/v1/resource/comments/R_SO_4_...返回{"code":400,"message":"illegal request"} - 即使带上 Cookie，也很快被判定为异常流量，返回
{"code": -460}（参数错误）或{"code": -470}（签名过期）
真正可行的路径：逆向分析 Web 端加密逻辑
网易云 Web 版使用 AES + RSA 双重加密对请求参数（如 params、encSecKey）进行处理，每次请求的密文都不同。绕过它必须复现前端 JS 的加密流程。
立即学习“Python免费学习笔记（深入）”；
实操建议：
- 用浏览器开发者工具（Network → XHR）捕获一个真实评论请求，重点关注
params和encSecKey字段值 - 在 Sources 面板搜索
aes、rsa、createSecretKey，定位到NeteaseCloudMusicApi相关混淆代码（通常在main.*.js） - 用 Python 复现关键函数：比如
encrypt_params()要调用pycryptodome做 AES-CBC 加密，再用固定公钥做 RSA 加密生成encSecKey - 注意：AES 的
iv和随机生成的secretKey必须与 JS 行为完全一致（例如 JS 用Math.random()生成 16 位字符串，Python 得用相同 seed 或模拟逻辑）
示例片段（仅示意结构，不可直接运行）：
def encrypt_params(text, key):
iv = b'0102030405060708'
cipher = AES.new(key.encode(), AES.MODE_CBC, iv)
padded = pad(text.encode(), AES.block_size)
encrypted = cipher.encrypt(padded)
return b64encode(encrypted).decode()
更现实的选择：用 mitmproxy + 真实浏览器上下文
比起硬啃加密逻辑，更稳定的做法是让浏览器自己发请求，然后用代理截获——这样能天然携带 Cookie、User-Agent、加密参数，且行为与人工操作一致。
使用场景：
- 只爬少量歌单（如个人收藏的 20 个），需要高成功率
- 不想维护加密逻辑更新（网易可能随时改密钥生成方式）
- 需处理登录态（扫码登录后自动带 session）
实操建议：
- 启动
mitmproxy，配置浏览器代理为127.0.0.1:8080 - 手动在网页打开目标歌单页，滚动到底部触发评论加载，观察 mitmproxy 中匹配
/weapi/v1/resource/comments/的请求 - 用
mitmdump -s extract_comments.py编写脚本，从flow.response.content提取 JSON 并保存 - 注意：必须保留原始请求头中的
X-Real-IP、Cookie、__csrf，否则后续请求会失效
加密参数容易随版本微调，而浏览器上下文只要没登出就能持续用；但如果你要跑分布式、高并发采集，那得直面加密逻辑——只是别指望网上抄一段“网易云 AES 加密 Python 实现”就一劳永逸，JS 里那个 getAesKey() 函数，很可能下个版本就多嵌套一层异步或加个时间戳校验。
