Postman本身不模拟权限状态，401/403由后端校验Token、Scope、角色或上传策略触发；测试需主动构造非法请求：删/改Authorization头、用低权限Token调高权限接口、错传form-data字段名或文件类型、上传超限/禁用文件，并通过Postman Console验证真实请求头与body。
Postman 无法直接“模拟无权限状态”，它只是发请求的工具；真正触发 403 Forbidden 或 401 Unauthorized 的，是后端对 Token 权限、Scope、角色或文件上传策略的实际校验。测试的关键，在于构造能被后端拒绝的请求，而不是让 Postman 自己判断有没有权限。
怎么让后端返回 403/401 —— 改 Token 或删 Header
权限拒绝一定来自服务端逻辑，所以你要主动破坏认证或越权：
- 用一个只含
user:readScope 的 Token，去调用需要file:write的上传接口 - 把
Authorization头整个删掉，看是否返回401 - 保留
Authorization头但把值改成无效格式，比如Bearer invalid_token_123或Bearer（后面空格都不跟） - 如果 API 支持 Cookie 认证，清空
Cookie头，或传一个过期的auth_token=xxx
form-data 中故意传错 key 名 —— 触发参数校验失败
很多后端在解析 multipart/form-data 前，会先检查是否存在合法的文件字段名（如 file、attachment）。如果字段名不匹配，可能直接返回 400 Bad Request，而非等鉴权走完：
Postman 12.27.7
下载
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- Body → form-data → 把 Key 写成
files（而文档要求是file） - Key 写成
FILE（大小写敏感场景下会失败） - Key 正确但 Type 误设为
Text（不是File），此时 Postman 不会附带文件内容，后端可能因缺失文件字段报错
上传超大文件或禁用类型 —— 测试服务端策略拦截
这类限制通常在网关或中间件层就生效，不经过业务鉴权逻辑，但属于“无上传权限”的实际表现之一：
- 选一个 >50MB 的文件（假设后端限制为 10MB），看是否返回
413 Payload Too Large或400带明确提示 - 上传
.exe或.sh文件（即使 Token 有效），若后端配置了 MIME 类型白名单，可能返回400或422 Unprocessable Entity - 用 Pre-request Script 动态设置一个超长
filename，例如very_long_name_123456789012345678901234567890.txt，部分服务会对文件名长度做截断或拒绝
用 Console 确认真实发出的请求头和 body
Postman 的 UI 显示有时会误导你——比如你以为删了 Authorization，但它可能从环境变量或全局设置里又补上了。最可靠的方式是开控制台验证：
- View → Show Postman Console（快捷键
Cmd+Alt+C/Ctrl+Alt+C） - 发送请求后，在 Console 里点开对应条目，看
Headers标签页里实际发出的Authorization是什么 - 在
Body标签页确认是否真有Content-Disposition: form-data; name="file"; filename="xxx"这样的行
没看到这行，说明文件根本没传出去，后续所有“权限错误”都是假象——问题出在 Postman 配置，而不是后端权限控制。
