Postman脚本中需用pm.response.headers.get("Set-Cookie")手动解析响应头获取本次Cookie，因pm.cookies.get()仅读已持久化的上一次Cookie；多个Set-Cookie需用all().filter遍历；自动管理优先于脚本拼接。
Postman脚本里怎么拿到响应里的 Set-Cookie
Postman 不会自动把 Set-Cookie 头暴露给脚本，也不能直接用 pm.cookies.get() 读到刚返回的、还没存入 Cookie 管理器的值。你看到的 pm.cookies.get("key") 只能读「已持久化」的 Cookie（即上一次请求后被 Postman 自动存下来的），不是本次响应刚发来的。
所以真正要读本次响应头里的 Set-Cookie，得手动解析响应头：
- 用
pm.response.headers.get("Set-Cookie")拿原始字符串（注意：可能有多个，用逗号分隔） - 如果只有一个
Set-Cookie，可直接用split(";")[0].trim()提取 name=value 部分 - 若需精确提取某个字段（比如
sessionid），推荐用正则：pm.response.headers.get("Set-Cookie")?.match(/sessionid=([^;]+)/)?.[1] - 注意：某些服务会发多个
Set-Cookie头（HTTP/2 常见），此时get()只返回第一个；要用pm.response.headers.all().filter(h => h.key === "Set-Cookie")遍历全部
pm.cookies.get() 为什么总是 undefined
这不是 Bug，是设计行为：Postman 的 pm.cookies 接口只对接内置 Cookie 管理器，而该管理器更新发生在「请求结束、进入历史记录之后」，脚本执行时（包括 Tests 和 Pre-request Script）它还来不及写入。
常见误操作：
- 在当前请求的
Tests里调pm.cookies.get("token")—— 此时 token 还没存进去，一定返回undefined - 想跨请求复用 Cookie 却没开「Automatically persist cookies」开关（Settings → General → ✅ Automatically persist cookies）
- 用了
pm.cookies.set()但没配 domain/path，导致后续请求不携带（set()是写入管理器，但匹配规则不对就等于白设）
如何让下个请求带上本次响应的 Cookie
最稳的方式不是靠脚本，而是打开 Postman 的自动 Cookie 管理：
- 确保 Collection 或 Request 级别启用了 cookie jar（右上角 Cookies 按钮点开，确认显示「Enabled」）
- Settings → General → ✅ Automatically persist cookies（必须开，否则只存当前 session）
- 发完带
Set-Cookie的请求后，立刻在下一个请求的 Headers 里删掉手动写的Cookie头——让 Postman 自动注入 - 如果必须脚本控制（比如要拼接多个 Cookie 字段），可在 Pre-request Script 里用：
pm.request.headers.add({key: "Cookie", value: `sessionid=${sessionId}; csrftoken=${csrf}`})，但要注意覆盖默认行为
手动拼 Cookie 头容易漏 HttpOnly 或路径限制，优先走自动机制。
Cookie 值含特殊字符（比如空格、逗号、引号）怎么安全提取
Set-Cookie 值本身不编码，但实际传输中常被双引号包裹，且 value 里可能含空格或分号。直接 split(";") 会断错。
稳妥做法是用正则配合非贪婪匹配：
const setCookie = pm.response.headers.get("Set-Cookie");
const tokenMatch = setCookie && setCookie.match(/XSRF-TOKEN="?([^";]+)"?/);
const token = tokenMatch?.[1];
关键点：
- 用
"?([^";]+)"?匹配可选引号包裹的值，避免被分号截断 - 不要依赖
pm.cookies.jar().get()在 Tests 里查——它异步，且返回 Promise，不能直接赋值 - 如果服务用 SameSite=Lax / Strict，Postman（作为调试工具）不受限，但脚本里模拟浏览器行为时要注意这个差异
Cookie 的 domain/path/expires 规则不会被脚本读取，pm.cookies 接口也不暴露这些元信息——真要验证，只能自己 parse Set-Cookie 字符串。
