```html

网页token怎么获取

昨天帮同事调一个内部数据接口，对方系统死活返回401。网页我瞄了一眼他的网页请求头，发现token那栏是网页空的。他挠头说“我复制了呀”，网页结果一看，网页他复制的网页是登录后页面URL里的?token=参数，那个是网页一次性的，早失效了。网页这事挺典型——很多人以为token就是网页登录后浏览器地址栏里那串乱码，其实差得远。网页

网页token压根没有统一标准。网页它可能是网页JWT，可能是网页OAuth2的access_token，也可能就是网页个服务端生成的随机字符串。获取方式取决于网站怎么设计。我见过最粗暴的，登录后直接把token塞在cookie里，名字叫sessionid，但内容长得像base64编码的JSON。也见过把token藏在响应头的Authorization字段里，前端拿到后存进localStorage。还有更原始的，每次请求都带一个X-CSRF-Token，必须从页面meta标签里抠出来。

说个具体场景。上周我抓某电商后台的订单数据，打开DevTools的Network面板，登录后随便点个按钮，找到那个返回JSON的XHR请求。点开Headers，往下翻到Request Headers，一眼就看到Authorization: Bearer eyJhbGciOi...。这串就是token。但别急着复制——它可能两小时后就过期。想长期用，得找刷新token的接口，或者干脆模拟登录流程自动获取。

有人问，能不能直接从浏览器控制台敲document.cookie拿？能，但cookie里的token往往被HttpOnly标记保护，JS读不到。这时候得换个思路：看Application面板的Cookies列表，或者去Network里找登录请求的Response Headers，Set-Cookie字段里可能藏着。我遇到过最隐蔽的，token放在一个叫X-Auth-Token的自定义响应头里，前端拿到后存进IndexedDB——这种就得在Application的Storage里翻。

再讲个反例。有些老系统用token做CSRF防护，每次页面加载时动态生成，嵌在<meta name="csrf-token" content="...">里。你直接请求接口不带这个token，服务器就拒。获取方法简单到可笑：document.querySelector('meta[name="csrf-token"]').content。但如果你用Python的requests库，就得先GET一次页面，用正则或BeautifulSoup把这串抠出来，再塞进后续请求的headers。

移动端网页更麻烦。有些App内嵌的WebView，token通过URL参数传给前端，比如https://m.example.com/page?token=abc123。但地址栏被隐藏了，你没法直接看。这时候要么用抓包工具（Charles/Fiddler）看请求，要么在WebView里注入JS打印window.location.href。我试过用vConsole，在手机上直接调出控制台，敲一行location.search，token就出来了。

别迷信“获取token的通用方法”。每个网站都是独立王国。我习惯先看登录接口的响应体，如果返回JSON里带token或accessToken字段，直接拿。如果没有，再翻响应头。还没有，就查cookie和localStorage。最后才考虑从页面源码里搜关键词——用Ctrl+F搜“token”经常有意外收获，比如藏在某个<script>标签的变量里。

对了，有些token需要签名。你直接复制过来用，可能因为时间戳或nonce不对被拒。这时候得看前端JS怎么生成的。我遇到过用crypto-js做HMAC-SHA256签名的，得把密钥和算法都扒出来。这种就属于逆向范畴了，跟“获取”已经不是一个难度级别。

最后说个坑：别在公开场合贴token。我见过有人在GitHub issue里贴请求日志，token没打码，结果被人拿去刷接口。token就是临时密码，拿到就能冒充你。获取归获取，用完记得清。