为什么用Nessus扫描后端API时提示“401未授权”但正常访问没问题？

慧娜 Dev 提问于 2026-01-27 13:12:32 阅读 55

安全

我在用Nessus扫描公司内网的后端API接口时，总提示401 Unauthorized错误，但用Postman直接带相同Token访问完全没问题。

已经按文档配置了认证凭证：

{
    "authType": "Bearer Token",
    "token": "ya29.a0A...",
    "headers": {"Content-Type": "application/json"}
}

还试过在Advanced Options里添加自定义HTTP头，但扫描结果还是报未授权错误。

难道是Nessus发送请求的方式和Postman有差异？或者需要额外配置SSL验证参数？

我来解答赞 6 收藏

反馈

1 条解答

UX蒙蒙 Lv1

Nessus这玩意有时候处理认证确实有点怪。你试试下面这种方法，基本能解决大部分类似问题。

{

    "authType": "Bearer",

    "credentials": {

        "token": "ya29.a0A..."

    },

    "headers": {

        "Authorization": "Bearer ya29.a0A...",

        "Content-Type": "application/json"

    },

    "useGlobalAuth": false,

    "enableCookies": true

}

重点是：
1. 把 Authorization 放到 headers 里手动指定。
2. 加上 useGlobalAuth: false 和 enableCookies: true，防止它用自己的认证逻辑覆盖你的设置。
3. 如果接口用了某些特殊中间件，可能还需要在Advanced Options里加上 ssl-strict: false 跳过SSL验证。

拿去改改，应该就能正常跑了。如果还不行，可能是你们API的认证机制比较特殊，那就得看具体实现了。

2026-01-28 22:03