近日，某互联网公司后端开发团队在排查线上问题时遇到一个罕见但令人头疼的现象：使用Postman发送的API请求始终无法命中负载均衡器后端的目标组（target group），而完全相同的请求参数——甚至复制了Postman生成的curl命令——在终端中执行却能够成功。这一“幽灵般”的差异导致调试耗时数小时，最终定位到五个关键变量。本文基于该案例还原问题全貌，并给出技术排查路径。
现象还原
团队在阿里云ALB（应用型负载均衡）后部署了多个服务实例，并配置了基于路径的路由规则。所有请求均应转发至名为“app-v2”的目标组。开发人员小张在Postman中向https://api.example.com/v2/users发送GET请求，返回的是504 Gateway Timeout。而当他点击Postman的“Code”按钮，复制自动生成的curl命令（curl --location 'https://api.example.com/v2/users' --header 'User-Agent: PostmanRuntime/7.36.0' --header 'Accept: */*'）在终端执行时，却得到正常200响应。
这意味着同一个URL、同一套Header，只因发送工具不同，结果大相径庭。更诡异的是，小张的同事使用cURL（非Postman生成的命令）也能成功，而使用Postman内置的其他环境（如Insomnia、HTTPie）则复现失败。
深层排查：五个关键差异点
1. SSL/TLS握手与HTTP版本差异
使用Wireshark抓包发现，Postman默认使用HTTP/1.1，而curl在绝大多数Linux发行版中默认优先使用HTTP/2。ALB目标组中配置了“HTTP/2优先”参数，当Postman以HTTP/1.1发送时，ALB尝试将请求降级转发至后端，但后端服务恰好未正确处理Connection头，导致握手失败。curl使用HTTP/2则直接通过。
验证方法：在Postman中显式关闭“自动跟随HTTP/2”，强制使用HTTP/1.1，结果依然失败；而在curl中加入--http1.1参数，curl也立即返回504。锁定HTTP协议版本差异。
2. TLS SNI（服务器名称指示）问题
Postman发送的TLS Client Hello中携带的SNI字段为api.example.com，但curl在默认情况下同样发送该字段。然而进一步检查发现，Postman的Network选项卡中显示“证书已验证”，而实际后端网关上的TLS终止配置只信任特定SNI（如api-internal.example.com）。Postman发送的SNI被网关识别为外部域名，未命中内部目标组的监听规则。curl之所以成功，是因为小张的终端使用了公司内网DNS，将域名解析到了内部VIP，而Postman使用的系统DNS解析到了公网IP。
验证方法：在Postman中手动添加Host: api-internal.example.com请求头并修改URL域名，故障消失。
3. Cookie/Session自动管理
Postman内置了Cookie管理器，会持久化之前请求中服务器Set-Cookie的会话标识。小张此前多次调试用户认证接口，Postman自动保存了session_id=abc123的Cookie。当发送到/v2/users时，该Cookie被携带，而网关透明地将其转发至后端，后端负载均衡器根据自定义Cookie Hash算法将请求固定分配到一个特定Pod——该Pod恰好存在内存泄漏，响应缓慢导致超时。curl命令未携带任何Cookie，因此被轮询调度到健康Pod，响应正常。
验证方法：在Postman中清空Cookie并禁用自动管理，请求成功。
4. HTTP方法大小写与Content-Type推导
Postman在发送不带body的GET请求时，仍会在Header中插入Content-Type: text/plain（基于UI中的默认设置），而curl不会。某些API网关（如Kong或APISIX）会基于Content-Type执行请求体解析拦截，若检测到非预期的Content-Type但实际无body，可能触发WAF规则并丢弃请求。此外，Postman使用的HTTP方法名称为大写“GET”，而curl同样采用大写，但部分网关对方法名称大小写敏感——这一点在本案例中未发生，但调查过程中曾被作为怀疑对象。
5. User-Agent引发的WAF误拦截
Postman的User-Agent为PostmanRuntime/7.36.0，而curl的默认User-Agent为curl/8.4.0。云WAF（Web应用防火墙）的某些规则会将非浏览器类UA识别为爬虫或攻击工具，但本案例中WAF对两者均放行。不过，若目标组前存在基于UA的白名单策略（例如只允许curl和公司内部SDK），则Postman必然被拒绝。
根本原因：多重因素叠加
最终团队将上述排查结果汇总，发现真正导致区别的组合因素是：Postman使用的HTTP/1.1 + 错误的SNI + 来自之前请求的Cookie。三个问题各自独立但协同作用——HTTP/1.1导致握手阶段异常但未完全失败，SNI指向公网导致路由错乱，Cookie将请求绑定到不健康Pod。curl恰好避开了所有坑：HTTP/2 + 正确SNI（因DNS解析不同）+ 无Cookie。
技术启示与最佳实践
- 统一HTTP协议版本：在微服务架构中，前后端应明确约定HTTP版本，负载均衡器需做好版本适配日志。
- 隔离测试环境：Postman等图形化工具应启用“环境变量”和“清除Cookies”功能，避免状态污染。
- 镜像请求：当出现工具差异时，使用
curl --trace-ascii /dev/stdout或Postman的“Console”详细对比网络层面差异。 - SNI与DNS联动：内部服务域名务必使用私有Zone，并在Postman中配置对应的Hosts文件或代理。
该案例已纳入公司内部技术复盘文档，团队同时建议开发者在调试接口前，先执行一次curl -v作为基准参照。技术工具的“黑盒”特性往往隐藏着协议栈的微妙差异，只有保持对每个字节的敬畏，才能快速定位那些“看起来完全一样”的请求背后的不同世界。