高频请求触发403而非429，是因为风控系统将缺乏人类行为特征（如固定间隔、无referer、sec-fetch-site恒为none等）的请求判定为非法自动化访问，直接拒绝而非限流；本质是行为指纹暴露了机器人身份。
不是服务器“生气了”，而是它把你的请求行为标记为异常流量，直接拒绝执行。
为什么高频请求会触发403而不是429？
很多网站不返回标准的429 Too Many Requests，而是统一用403 Forbidden——因为语义上更“强硬”：不是“你太快了”，而是“我不承认你是合法访问者”。这背后是风控系统在综合判断：User-Agent没变、Referer固定、请求间隔恒定、无鼠标滚动/页面停留等行为痕迹，整套访问轨迹不像真人。
- 真实用户不会每1.2秒精确刷一次列表页，也不会在0.3秒内从首页跳转到详情页
- requests 默认发起的连接没有 TLS 会话复用、ALPN协商值异常，WAF（如Cloudflare）能识别出这是“一次性访客”
- 即使用了
Session，若没带Cookie或Cookie过期，高频请求反而加速触发封禁
requests发请求时，哪些“规律性”最容易被盯上？
服务器不看代码，只看网络行为。以下模式一出现，基本等于自报家门：
- 连续5次以上请求的
Sec-Fetch-Site都为none（说明不是从页面导航来的） -
Accept和Accept-Encoding字段始终不变，而真实浏览器每次刷新可能微调压缩偏好 - 所有请求的
Connection都是keep-alive，但TCP连接实际未复用（requests默认不保持底层连接） - 没设置
Referer，或所有请求Referer都指向同一个URL（比如全是首页），缺乏访问路径纵深
加time.sleep()就能解决？不一定
单纯加延时只是掩盖节奏问题，治标不治本：
- 如果IP本身已被标记（比如云服务器出口段），睡再久也还是
403 - 固定延时（如统一
sleep(2)）仍是规律行为，风控模型照样能聚类识别 - 部分站点会校验请求头里的
Sec-Ch-Ua版本号是否匹配当前时间——你用去年的Chrome UA，哪怕睡够10秒也过不了关 - 真正有效的节流是模拟人类波动：用
random.uniform(1.5, 4.2)，并配合Session复用连接和TLS上下文
高频请求触发403的本质，是行为指纹暴露了自动化身份。光调延时、换UA、加代理，都不如先抓一次浏览器真实请求，对比看哪几个字段在“说真话”——尤其是那些你根本没注意过的Sec-Fetch-*和Priority头。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
