Postman中必须手动添加Referer请求头，因其是腾讯课堂、CDN等接口的硬性准入条件；Referer声明请求来源，服务端用其防盗链或校验，浏览器自动携带但Postman默认不带，需在Headers中严格按格式（如https://ke.qq.com/）填写完整URL。
Postman 中设置 Referer 头不是可选项，而是某些接口（尤其是腾讯课堂、CDN 资源、评论类接口）的硬性准入条件——没它，直接 403 或空响应。
Referer 是什么，为什么必须手动加
Referer 是 HTTP 请求头字段（注意拼写是 Referer，不是 Referrer），用于声明当前请求“从哪个页面发起”。服务端常靠它做防盗链、来源统计或 CSRF 辅助校验。浏览器自动携带，但 Postman 默认不带——所以你抓包看到的请求能通，自己手填 URL 却失败，大概率就卡在这儿。
常见错误现象：403 Forbidden、{"code":403,"msg":"非法来源"}、返回空数组或登录跳转页。
- 腾讯课堂的
/comment_list接口必须带Referer: https://ke.qq.com/ - 某些 CDN 图片地址会校验
Referer是否为白名单域名，否则拒绝返回资源 - 部分后台管理接口把
Referer当作简易权限开关，非指定来源一律拦截
在 Postman Header 里正确添加 Referer
打开请求 → 切到 Headers 页签 → 手动新增一行：
Key 输入 Referer（大小写敏感，不能写成 referer 或 REFERRER）
Value 填写完整、带协议的来源地址，例如：https://ke.qq.com/ 或 https://www.baidu.com/
注意几个关键点：
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 必须是完整 URL，不能只写域名（
ke.qq.com❌），也不能漏掉末尾斜杠（https://ke.qq.com❌） - 如果目标接口要求多级路径（如从课程详情页触发评论），
Referer应匹配实际来源页，比如https://ke.qq.com/course/123456 - 值中不能含空格、中文、未编码特殊字符；若需传参，确保已 URL 编码
- 不要和
Origin混用——Origin只用于 CORS 预检，Referer是常规请求头
Referer 和 Cookie、SessionID 的配合关系
有些接口既要 Referer，又要有效的会话凭证，比如腾讯课堂评论接口：光加 Referer 不够，还必须带上抓包得到的 Cookie（含 sessionid）或 Authorization token。
实操建议：
- 先用浏览器 F12 抓一个能成功的请求，复制完整的
Headers（包括Cookie、Referer、User-Agent） - 在 Postman 中点击右上角 Import → Paste Raw Text，粘贴整个请求的 cURL 或 Headers 内容，Postman 会自动解析并填充
- 若手动填，务必检查
Cookie是否过期——Referer对了但 session 已失效，照样返回登录态错误
Referer 设置失效的典型原因
即使你填对了 Referer，仍可能失败，常见原因有：
- 服务器做了 Referer 白名单校验，但你的值不在列表中（比如要求
https://ke.qq.com/，你填了https://ke.qq.com/course/） - 请求被重定向（302），而 Postman 默认不转发原始
Referer—— 关闭 Settings → General → Automatically persist cookies 并勾选 Disable redirects 来排查 - 某些环境（如企业内网代理、安全网关）会主动剥离或改写
Referer字段，此时需联系后端确认是否允许调试来源 - Postman 的「Send and Download」或「Save Response」操作可能触发二次请求，新请求不继承 Header，容易误判
最稳妥的做法：始终以浏览器抓包的原始请求为基准，逐项比对 Referer、Cookie、User-Agent、请求方法和 URL 参数——少一个，都可能让 Referer 形同虚设。
