给需要身份的系统做"免登录"：一套可复用的四步模式

通用工程思想 · 编程博客 · 第 1 篇主题：你的程序每次要访问一个"需要登录"的外部系统，怎么做到不用每次都手工登录？

开场一个比喻

想象你常去一家健身房，前台每天都问你"带会员卡了吗"。你每次都翻包掏卡，烦不烦？

聪明人的做法：第一次去的时候，让店员帮你录入指纹。之后每次进门，"嘀"一下就行，不用再掏卡。

"自动登录"就是这么回事——第一次由真人完成真正意义上的登录，然后把"登录成果"存下来，之后每次启动自动顶上去。 不要再让程序每次都从零开始。

这套思路，你做爬虫、做自动化测试、做内部工具，几乎都能用上。今天拆成四步讲清楚。

环节	大白话	为什么重要
① 先真人登录一次	别在自动化里硬造身份，先由真人完成一次"首次登录"	需要身份的系统，身份基本都只能由"真实登录"换得，硬造既不现实又容易触发风控
② 把状态存起来	把登录成果（会话/令牌）落盘保存，别每次都重新登	省时省力，更重要的是少触发平台的"异常登录"风控
③ 每次启动时注入	新会话一开，就把存的凭证"还"回去，实现免登录	这是自动化的核心前提——没有注入，每次都是一张新面孔重新登录
④ 支持刷新	凭证会过期，方案得能"过期后重新走一遍"	长期运行最关键——不做这一步，跑三个月突然全失效

很多刚接触的人会想："能不能程序自己把登录给办了？"

对这个问题的诚实回答是：大多数需要"账号身份"的系统，第一次登录几乎都绕不开真人。 扫码、验证码、二次验证……这些设计就是专为了"挡自动化"而生的。

所以老实的第一步是：开一个真人浏览器，用户自己完成那一次真正的登录。 别试图伪造。这一步不是偷懒，而是现实。

登录成功那一刻，系统其实给了你一份"过关证明"，它通常叫会话（session）或令牌（token）——一份能让服务器认你"就是你"的东西。

聪明人会把这份"过关证明"存档下来。之后要再次访问时，直接拿它,而不是重新走一遍扫码排队。

存什么、存哪都讲究，但核心就一条：把登录成果持久化成文件/存储，留给下次用。

自动化每次启动，开的是一个全新的、干干净净的"空浏览器"——它对你是谁一无所知。

这时就要做"注入"：在开新会话的时候，把第②步存的凭证塞回去。于是这个新浏览器一上来就"认识你"，等于免登录状态。

这一步是整个免登录的核心动作——没有它，前面的存档毫无意义。

戳破一个泡泡：存下来的凭证，终究会过期。（这是下一篇要展开讲的，这里先带一笔。）平台会定期让你"重新验证"。

所以方案别做成"存一次就永久有效"，而要做成**"过期了能重新走一遍 ①"**——该补一次真登录就补一次，而不是慌了手脚。

别挑战"首次登录必须真人"：有些系统（尤其涉及资金、风控严格的），硬要绕过首次真人登录，轻则失败，重则触发封禁。该真人就真人，这是合规也是安全。
凭证得"保密保管"：会话/令牌等同于"那个人"——泄露等于把账号交给别人。绝对不要把它写进代码仓库、不要在日志里打印，任何自动化方案都要把它当最高机密。
四种程度"够用好用就好"：不需要每次都重新登，但需求简单的场景，一套"存下来用"就够，不必堆太多自动化花样。

"自动登录不是'让程序自己造身份'，而是'让真人登一次换来一份凭证，然后程序负责保管、注入与刷新'——第一次的花费，换来之后每次的免登录。"