根本原因是继承链断裂或变量未生效；需检查登录接口Tests是否正确设置token变量、Collection授权类型是否为Bearer Token且Token值为{{token}}、各Request及Folder的授权是否设为Inherit auth from parent。
Collection 级 Authorization 设置后，为什么请求还是没带 token？
根本原因通常是「继承链断裂」或「变量未生效」。Postman 的认证继承优先级是 Request > Folder > Collection，只要任一上级（比如 Folder）或当前 Request 自己设置了别的认证类型，就会覆盖 Collection 级设置。
检查步骤：
- 确认登录接口的
Tests脚本已成功执行并写入变量（例如pm.collectionVariables.set("token", res.token)），且响应体确实含token字段； - 打开 Collection 的
Authorization页签，Type 必须选Bearer Token，Token 栏必须填{{token}}（不能是硬编码值，也不能漏掉双大括号）； - 检查该 Collection 下每个 Request 的
Authorization页签——Type 必须是Inherit auth from parent，而不是No Auth或其他类型； - 如果用了 Folder 分组，Folder 本身也得设为
Inherit auth from parent，否则它会截断继承链。
用 Pre-request Script 手动加 Authorization 头更灵活吗？
可以，但不推荐作为首选方案。脚本方式（如 pm.request.headers.add({key: "Authorization", value: "Bearer " + pm.collectionVariables.get("token")})）绕过了 Postman 内置的认证管理逻辑，会导致几个隐性问题：
- Postman 的「Auth」标签页不再显示真实认证状态，调试时容易误判；
- 无法利用内置的 token 刷新机制（比如 OAuth 2.0 的自动 refresh）；
- 若变量为空，脚本不会报错，请求发出去就是
Authorization: Bearer undefined，后端通常返回401，但你得自己排查是变量没设、取错了层级，还是拼写错误； - 和 Collection 级
Bearer Token配置相比，性能无优势，反而增加维护成本。
Collection Variables 和 Environment Variables 该选哪个存 token？
看 token 的作用范围。Collection 变量只对当前 Collection 生效，Environment 变量则跨 Collection 共享——但共享意味着风险：不同环境（dev/staging/prod）的 token 混用会导致认证失败甚至越权访问。
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
建议：
- 单系统测试 → 用
collectionVariables，隔离性强，删 Collection 就自动清理 token； - 多系统共用同一套账号体系（如 SSO 登录后调多个微服务）→ 用
environmentVariables，但务必为每个环境（dev/staging/prod）单独配一套变量； - 绝对不要把 token 存进
globalVariables，它没有作用域控制，极易污染其他项目。
登录接口的 Tests 脚本里，怎么安全提取 token？
别直接用 responseBody.token，JSON 解析失败时整个脚本会静默中断，token 就设不上。必须加 try/catch 和字段校验：
try {
const res = pm.response.json();
if (res && res.token && typeof res.token === 'string' && res.token.trim()) {
pm.collectionVariables.set('token', res.token.trim());
} else {
console.error('Token 字段缺失或为空:', res);
}
} catch (e) {
console.error('响应体非合法 JSON:', e.message);
}
额外提醒：有些接口返回的是 { data: { token: "xxx" } } 或 { result: "xxx" }，得按实际结构取值，不能默认一级 key 是 token。脚本里打印 console.log(pm.response.text()) 看原始响应，比猜结构靠谱得多。
