Postman 中 Elasticsearch 的 API Key 必须手动设在 Headers 的 Authorization 字段，格式为“ApiKey {id}:{api_key}”，禁用内置 API Key 类型；需用环境变量安全存储 id 和 api_key，避免明文泄露；401 错误主因是拼写错误、HTTP 协议误用或密钥过期。
Postman 里配 API Key 不是填对两个字符串就行，关键在「放哪」和「怎么拼」——错一个位置（比如该放 Header 却塞进 Query），服务器就收不到认证信息，直接返回 401 Unauthorized。
API Key 必须放在 Authorization Header 里，格式是 ApiKey <id>:<api_key></api_key></id>
这是 Elasticsearch 等主流服务要求的硬性格式，不是随便起个 Key 名就能用。很多用户卡在第一步，是因为误选了 Postman 的「API Key」类型（那个会自动拼成 Key: Value 形式），结果发出去的是 Authorization: api_key AaBbCcDdEeFfGgHhIiJj:12345678-90ab-cdef-ghij-klmnopqrstuv，而 ES 要的是 ApiKey（首字母大写、无下划线）开头的完整字符串。
- 正确做法：在 Authorization 标签页选择
No Auth，然后手动切到 Headers 标签页，新增一行：Authorization→ApiKey AaBbCcDdEeFfGgHhIiJj:12345678-90ab-cdef-ghij-klmnopqrstuv - 千万别用 Postman 内置的「API Key」类型，它不兼容 ES 的
ApiKey协议 - id 和 api_key 来自
POST /_security/api_key接口响应，中间用英文冒号:连接，前后**不能有空格** - 如果后端是其他系统（如某些 SaaS 平台），可能要求
X-API-Key或api_key放 Query，但 ES 场景下只认 Header +ApiKey前缀
用环境变量存 API Key，避免明文泄露和重复粘贴
每次调接口都手敲一长串密钥，既容易出错，又可能误提交到共享集合或截图里。Postman 的环境变量是唯一安全又省事的方案。
Postman Mac版
下载
Postman Mac版是一款专为macOS设计的API开发与测试工具，凭借简洁的界面和强大的功能，深受开发者喜爱。它支持发送各种HTTP请求（GET、POST、PUT等），轻松管理接口集合、环境变量和模拟服务器。Mac用户可享受原生性能、快捷键优化及与系统无缝集成的体验，适用于接口调试、自动化测试和文档生成。无论是个人项目还是团队协作，Postman for Mac都能提升API开发效率，是ma
- 先在右上角环境管理里新建环境，添加两个变量：
es_api_id和es_api_key，值分别填响应里的id和api_key - Headers 里写：
Authorization→ApiKey {{es_api_id}}:{{es_api_key}} - 确保右上角环境下拉框已选中你刚建的那个环境，否则变量不会被替换
- 不要把密钥存在全局变量或请求级变量里——前者跨环境污染，后者无法复用
测试时 401 错误的三个高频原因
看到 401 别急着怀疑后端，先检查这三项：
-
id和api_key是否复制完整？ES 的api_key字符串含连字符，容易漏掉末尾几位 - 请求 URL 是否用了 HTTPS？部分 ES 集群强制 HTTPS，HTTP 会静默拒绝认证头
- API Key 是否已过期？创建时设的
"expiration": "7d"到期后不会报错提示，只会持续 401 - 检查响应头里有没有
WWW-Authenticate，如果有且值是ApiKey，说明服务端认可这个协议，问题一定出在客户端拼写或传输上
最麻烦的其实是密钥生成后没保存好——ES 不会二次显示 api_key，删了就只能重生成，别指望从日志或 UI 里捞回来。
