最直接的写法是pm.request.headers.add()，但需先remove旧sign再add新值，避免重复；签名依赖时间戳时须同步添加timestamp头；CryptoJS.MD5签名不一致主因是raw body换行符、空格等格式差异，应统一为Unix换行并规范JSON序列化。
pm.request.headers.add()是最直接的写法，但实际用起来容易出错——签名值没生效、Header 重复、换行符导致 MD5 不一致，都是高频问题。关键不在“能不能加”，而在“加得对不对”。
Pre-request Script 里怎么正确添加 sign 到 Header
签名必须在请求发出前注入，所以只能写在 Pre-request Script 中；不能靠手动填 Header，否则每次改参数都要重算。
常见错误是直接用 pm.request.headers.add() 却没先删旧值，导致多个 sign 头并存，后端只取第一个（或报错）。
- 先清除已存在的同名 Header：
pm.request.headers.remove("sign") - 再添加新值：
pm.request.headers.add({key: "sign", value: md5Hash}) - 别用
pm.environment.set("sign", ...)后手动在 Headers 界面填{{sign}}，这会绕过脚本执行时机，签名可能滞后于参数变更 - 如果签名依赖时间戳，记得同步设置
pm.request.headers.add({key: "timestamp", value: String(Date.now())})，避免 Header 和签名计算用的时间不一致
为什么 CryptoJS.MD5(raw) 算出来的签名总和后端对不上
90% 的原因是原始字符串“看似一样，实则不同”——尤其是 JSON body 里的换行、空格、引号、编码格式。
Postman 的 pm.request.body.raw 取出来的是带 Unix 换行符 \n 的字符串，而很多后端服务默认按 Windows 换行 \r\n 或严格 ASCII 处理。
- 强制统一换行：
raw = raw.replaceAll("(? - 去掉所有空白（如文档要求“紧凑 JSON”）：
raw = JSON.stringify(JSON.parse(raw)) - 确认是否要排序 key：如果后端签名逻辑要求 query 参数按字典序拼接，就不能直接用
pm.request.url.query.members原序遍历，得先sort()key 数组 - 中文字段注意：
encodeURIComponent()必须对每个 value 单独调用，不能对整个字符串 encode
签名该放 Header 还是 Query 还是 Body
没有统一标准，完全取决于接口文档。但 Postman 脚本里处理方式差异很大：
Postman 12.27.7
下载
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
- 放 Header：用
pm.request.headers.add()，最常用，适合sign、appKey、timestamp这类元信息 - 放 Query：需修改
pm.request.url.query，例如pm.request.url.query.add({key: "sign", value: md5Hash})；注意 GET 请求才适用，POST 里放 Query 容易被忽略 - 放 Body（JSON）：得先
JSON.parse()原 body，插入sign字段，再JSON.stringify()回写到pm.request.body.raw；风险高——body 格式错一个字符就 400，且可能破坏原有结构（比如数组变对象）
优先查清文档写的“签名位置”，别凭经验猜。
环境变量怎么安全传密钥（appSecret）
硬编码 "my_secret_key" 在脚本里等于把密码贴在玻璃上。必须解耦。
- 在 Environment 或 Globals 里定义
appSecret变量，值设为真实密钥 - 脚本中用
pm.environment.get("appSecret")或pm.globals.get("appSecret")读取 - 千万别用
postman.setEnvironmentVariable()在脚本里动态写密钥——这会污染环境，下次跑别的集合可能误用 - 如果密钥含特殊字符（如
+、/、=），Base64 编码后存环境变量，脚本里再atob()解码，避免解析截断
真正难的不是写对一行 pm.request.headers.add()，而是让整个签名链路——参数采集、清洗、排序、拼串、哈希、注入——每一步都可复现、可调试、不随 Postman 版本升级突然失效。
