打开浏览器F12，爬虫切到Network标签，时找刷新页面，到请随便点一个请求。爬虫右侧Headers面板里，时找Request Headers那一栏就是到请你要的东西。别急着复制，爬虫先看两个关键字段：User-Agent和Cookie。时找前者告诉服务器你是到请什么浏览器，后者是爬虫服务器发给你的身份凭证——这俩填不对，反爬机制分分钟把你拦下来。时找

但光会看还不够，到请你得明白每个请求头是爬虫干嘛的。Referer告诉服务器你从哪个页面跳过来，时找有些图片防盗链就靠它判断。到请Accept-Language是语言偏好，你要是用中文爬英文网站，这字段就得改。X-Requested-With这个头更直接，很多框架靠它区分Ajax请求和普通页面跳转——服务器一看到这个头，就知道你是来“偷数据”的，不是真人在浏览。

有一次我爬某个电商网站，怎么都拿不到商品列表。请求头里User-Agent、Cookie、Referer全带上了，还是返回403。后来我对比了浏览器发出的完整请求，发现少了个Sec-Fetch-Site字段。这个字段是浏览器自动加的，告诉服务器请求是从哪个来源发出的。加上之后，问题立刻解决。所以最稳妥的办法，是用Selenium或Playwright这类工具直接驱动真实浏览器，让浏览器自己生成请求头，你就省心多了。

还有个容易踩的坑——请求头里的Header顺序。HTTP协议本身不要求顺序，但有些服务器代码写得不严谨，用字符串匹配的方式解析请求头。一旦顺序不对，服务器就识别不了。遇到这种情况，就用抓包工具把浏览器发出的原始请求头完整复制下来，按原顺序粘贴到代码里。别嫌麻烦，有些网站就靠这个刁难爬虫。

再说说动态请求头。现在不少网站用JavaScript在运行时生成token，加到请求头里。你直接看Network面板，看到的可能是一串加密字符串。这种时候就得分析JS代码，找到token的生成逻辑。好在大多数网站只是简单地把时间戳和某个固定字符串做拼接，再base64编码一下。真正用复杂加密算法的，基本都是大厂的核心接口，那种情况就别硬碰了，换别的数据源或者用官方API更划算。

最后提醒一句，请求头不是越多越好。有些爬虫新手喜欢把所有看到的头都加上，结果反而暴露了自己是程序的事实。因为真实浏览器不会同时发送所有可能的请求头，比如移动端浏览器就不会发Sec-Fetch-Mode。你只要带上最基本的几个字段，保持和真实浏览器一致就够了。要是实在不确定，就用curl命令模拟一下，看看服务器返回什么，再逐步调整。