Postman删Cookie后仍有登录态，主因是自动Cookie管理未关闭或凭证存于环境变量/本地存储；需关自动管理、清localStorage、检查环境变量及Cookie域匹配。
Postman里删了Cookie，请求还是带登录态？查 pm.cookies 和自动管理开关
Postman删除Cookie后仍能成功调用需鉴权接口，说明登录态根本没被清掉——大概率是它还在用另一套机制维持会话。最常见的情况是：你手动清空了 Application → Cookies 面板里的条目，但 Postman 的「自动 Cookie 管理」功能仍在后台默默运行，每次收到 Set-Cookie 响应就自动存、自动带，完全绕过你手动清理的操作。
验证方法很简单：在任意请求的 Tests 标签页里加一行脚本：
console.log(pm.cookies.toObject());
如果输出不是空对象，说明当前请求上下文里仍有活跃 Cookie；再检查 Settings → General → “Automatically persist cookies” 是否开启——只要开着，哪怕你清空面板，下次收到 Set-Cookie 仍会立刻恢复。
- 关闭该开关后，Cookie 不再自动写入，后续请求也不会自动携带，真正实现“裸请求”
- 若需临时停用，也可在单个请求的 Headers 中显式设置
Cookie:（值为空）来覆盖 - 注意：关闭后，
pm.cookies.jar().set()等 API 依然可用，只是不再响应服务端的Set-Cookie
为什么清空了 postman.co 的 Cookie，Postman 网页版还是显示已登录？
Postman 网页版（web.postman.co）的登录态不依赖传统 Cookie，而是靠 auth_token（HttpOnly）和本地存储中的 session_id 双重保障。即使你手动清空了 postman.co 域名下的所有 Cookie，只要 Service Worker 缓存了旧的 /me 接口响应（比如 401），或者浏览器本地 localStorage 里还存着未过期的 token，UI 就会误判为“已登录”。
排查路径很直接：
- 打开 Application → Storage → Local Storage，搜索
auth_或session，删掉相关键值 - 打开 Application → Service Workers，点击右上角“Unregister”并勾选“Skip waiting”，强制刷新 SW
- Network 面板过滤
/me，看响应 Header 里有没有Set-Cookie: auth_token=...，没有就说明凭证根本没下发
企业环境还要额外检查 DNS 或 PAC 脚本是否把 api.getpostman.com 解析到了错误网关——这种情况下，清 Cookie 毫无意义，因为后端压根不发凭证。
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
Postman 安装版中登录态“删不干净”，可能是环境变量或测试脚本在偷偷续命
很多人只盯着 Cookie 面板，却忽略了 Postman 更隐蔽的会话维持方式：环境变量 + 测试脚本。典型场景是——你用脚本从登录响应里提取了 token 并存进 pm.environment.set("token", ...)，之后所有请求都在 Authorization 头里拼接 Bearer {{token}}。这时候删 Cookie 完全不影响登录态，因为认证根本不走 Cookie 链路。
快速确认方式：
- 打开请求的 Authorization 标签页，看 Type 是不是 “Bearer Token” 或 “API Key”
- 点开对应环境，检查变量列表里是否有
token、authToken、sessionId等疑似凭证字段 - 在 Pre-request Script 中搜
pm.environment.get或pm.globals.get，看是否有动态注入逻辑
这类方式比 Cookie 更难察觉，因为不会在请求头里明文出现 Cookie: 字段，只会在 Authorization 或自定义 Header 中体现。
上传文件接口总提示“未登录”，光清 Cookie 不够，得关自动管理+清会话域
上传图片/文件类接口对 Cookie 的敏感度极高：服务端常校验 Cookie 头的完整性（比如要求 JSESSIONID 和 _csrf 同时存在且来自同一会话），而 Postman 默认的 Cookie 自动管理可能只保存了其中一部分，或跨域时作用域不匹配。
正确做法不是“删了再试”，而是精准重建会话上下文：
- 先禁用 Settings → General → “Automatically persist cookies”
- 用登录请求重新获取完整响应，确认
Set-Cookie头包含全部必要字段（如JSESSIONID=...; Path=/; HttpOnly和_csrf=...; Path=/） - 手动在 Cookies 面板中添加，特别注意
Domain字段必须与请求 URL 的域名完全一致（api.example.com≠www.example.com） - 上传请求的 URL 必须与登录请求同域，否则 Cookie 不会自动带上
最容易被忽略的是 Domain 字段的隐式补全逻辑：Postman 会把 example.com 自动扩展成 .example.com，但如果你登录时用的是 api.example.com，而上传请求发向 upload.example.com，两者实际不共享 Cookie——必须手动把 Domain 设为 .example.com 才行。
