Postman 中 pm.request.headers 无 set() 方法，需先 remove() 再 add() 才能替换 Authorization 等头；add() 不清理会导致重复头，remove() 和 key 大小写敏感；批量设头应先清除非系统头再统一 add；不存在 upsert() 方法；务必校验环境变量非空并用 Tests 脚本验证头是否生效。
Postman 里不能用 pm.request.headers.set() 直接覆盖头，必须用 add() 或先 remove() 再 add()，否则旧头残留、新头不生效。
预请求脚本中添加或替换 Authorization 头
Postman 的 pm.request.headers 是只读集合，没有 set() 方法。想动态注入 Authorization，得先删同名头再加新值，或者用 add() 并确保 key 唯一（但重复 key 会并存，服务器通常只取第一个）。
- 安全做法：先移除已有
Authorization头，再添加新值：pm.request.headers.remove("Authorization"); pm.request.headers.add({key: "Authorization", value: "Bearer " + pm.environment.get("access_token")}); - 简写风险：直接
add()不清理，可能造成两个Authorization头共存，后端行为不可控 - 注意大小写：
remove()和add()的 key 是大小写敏感的，写成"authorization"就删不掉
批量更新多个请求头（如 Content-Type + X-Request-ID）
需要同时设多个头时，逐个 remove() + add() 易出错。更稳的方式是先清空所有自定义头（保留 Postman 自动加的如 User-Agent），再统一添加：
- 用
pm.request.headers.all()遍历并过滤掉系统头（system类型），再remove()所有非系统头 - 然后用数组批量
add()，避免漏项：const customHeaders = [ {key: "Content-Type", value: "application/json"}, {key: "X-Request-ID", value: Math.random().toString(36).substr(2, 9)}, {key: "Authorization", value: "Bearer " + pm.environment.get("token")} ]; customHeaders.forEach(h => pm.request.headers.add(h)); - 别依赖
all()返回顺序——它不保证稳定，所以不要假设第 0 个是Content-Type
为什么 pm.request.headers.upsert() 不存在
Postman 的 SDK 文档里压根没这个方法，网上搜到的所谓 upsert() 示例全是误传或旧版插件遗留。实际可用的只有：add()、remove()、all()、get()（仅用于读取已存在头的 value，不能修改）。
Postman 12.27.7 Windows x64 官方安装包，适用于 API 设计、调试、测试与协作。该系列包含 Enterprise 云端性能测试静态 IP 出口能力，以及接口规范标签管理改进，适合受限网络测试与规范资源组织场景。
-
get("Authorization")返回的是Header对象，不是字符串；要取值得写.value，且它只返回第一个匹配头 - 试图对
get()返回对象赋值（如.value = "xxx"）完全无效，因为它是只读副本 - 如果环境变量为空（比如
pm.environment.get("token")返回undefined），add()仍会插入一个空值头，后端可能报错——务必加判断：const token = pm.environment.get("token"); if (token) { pm.request.headers.add({key: "Authorization", value: "Bearer " + token}); }
测试脚本里验证头是否生效
发请求后，不能光看 Headers 标签页——那是静态配置，不反映脚本运行结果。必须用 Tests 脚本检查真实发出的请求头：
- 用
pm.request.headers.get()检查脚本是否成功注入：const authHeader = pm.request.headers.get("Authorization"); pm.test("Authorization header is set", function () { pm.expect(authHeader).to.not.be.null; pm.expect(authHeader.value).to.include("Bearer"); }); - 注意：这里检查的是「即将发出的请求」，不是响应头，所以不用
pm.response - 如果脚本没生效，Console 里通常不会报错——
add()失败静默吞掉，只能靠get()+ 断言来暴露问题
真正容易被忽略的点是：预请求脚本执行时机在 URL 解析之后、请求构造之前，所以你不能靠脚本去改 pm.request.url 里的 query 参数来间接影响头；头必须显式调用 add()。另外，Collection 级别的预请求脚本对子请求也生效，但变量作用域默认不继承——记得在 Collection 设置里勾选 “Inherit auth from parent” 或手动同步变量。
