requests.get()因缺乏请求间隔随机性与TLS/UA指纹轮换，第3–5次请求即易触发403/429；固定sleep(2)暴露机械行为规律，被WAF通过时序建模识别为爬虫。
因为不设间隔和指纹池，requests.get() 发出去的请求大概率在第3–5次就被 403 或 429 拦住，甚至直接进 WAF 黑名单——这不是网站“小气”，而是你发的包在风控眼里像穿着荧光服跳机械舞。
为什么固定 sleep(2) 还是被封？
固定间隔暴露的是行为规律性。服务器不是只数“一秒发几个”，它会建模请求时序：比如每 2.01 秒打一次、误差始终
- 真实用户翻页有停顿、误点、切后台、网络抖动，
time.sleep(2)是死节奏，time.sleep(random.uniform(1.5, 4.5))才是活节奏 - 对同一页做多次请求（如重试、分段加载），建议叠加微抖动：
time.sleep(base + random.gauss(0, 0.3))，避免形成可预测周期 - 别只看平均值——连续 10 次都在 [1.8, 2.2] 区间，比一次 4.5 秒+九次 1.5 秒更容易触发“行为一致性”规则
为什么只换 User-Agent 不够？
User-Agent 只是请求头指纹的冰山一角。WAF 和网关会校验整套字段是否存在、顺序是否合理、值是否自洽。缺 Accept-Language 或 Sec-Ch-Ua，等于身份证只填了姓名没填出生地。
- 必须成套构造：至少补全
User-Agent、Accept、Accept-Language、Referer、Connection；移动端还需Sec-Ch-Ua-Mobile、Sec-Ch-Ua-Platform - 字段顺序要模拟浏览器：Chrome 真实请求中
Sec-Ch-Ua必在User-Agent之后、Accept之前，硬编码顺序错位会被识别为伪造 - 值要匹配：若
User-Agent是 iOS Safari，Sec-Ch-Ua-Platform就不能填"Windows"，否则指纹自相矛盾
为什么需要指纹池而不是单个 UA？
单个 UA 长期复用，相当于用同一张脸刷所有门禁——哪怕每次间隔拉得很开，系统也会把“这张脸+这个IP+这个TLS指纹”打包标记为高危组合。
立即学习“Python免费学习笔记（深入）”；
- 指纹池要包含多维变量：不同浏览器（Chrome/Firefox/Safari）、不同版本、不同平台（Win/macOS/iOS/Android）、不同语言区域（zh-CN/en-US/ja-JP）
- 每次请求应随机取一组完整指纹，而非只换
User-Agent其余字段照旧 - 注意 Cookie 关联：如果启用了会话（
requests.Session()），更换 UA 但不清理Cookie，可能造成“新UA+老会话”的异常组合
真正难绕过的不是某条规则，而是多层特征的交叉验证：你的 TLS 握手参数暴露了 Python 底层栈，HTTP 头顺序不符合 Chromium 实际行为，鼠标轨迹缺失（如果是无头浏览器），再加上 IP 地址近期高频访问——任何单一伪装都撑不过三轮检测。指纹池和动态间隔不是“加分项”，是让请求进入“待观察队列”而非“立即拦截队列”的最低门槛。
