这条 `403 Forbidden` 大概率不是服务器专门封锁了 `curl`，而是命令行解释器在 `curl` 启动之前，已经把 URL 里的 `&` 当成了命令控制符。

浏览器地址栏会把整条 URL 作为一个完整地址处理，包括下面这些查询参数。

```text
?_iz=58558
&from=article.pc_detail
&lk3s=953192f4
&x-expires=1784709231
&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D
```

但在未加引号的命令行中，`&` 并不一定是普通字符。它通常被 `Shell` 当成分隔命令、启动后台任务或者调用命令的操作符。

因此，这条命令看上去是一个完整的 `curl` 请求。

```bash
curl https://p3-sign.toutiaoimg.com/...jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=...
```

实际交给 `curl` 的内容很可能只有这一截。

```text
https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558
```

后面的内容则被命令行解释器拆成了其他命令。

```text
from=article.pc_detail
lk3s=953192f4
x-expires=1784709231
x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D
```

而这又是一条带有效期签名的图片 URL。服务器鉴权时需要看到 `x-expires` 和 `x-signature`。请求被截断后，签名参数完全消失，服务器自然会把它视为无权限访问，并由 `Tengine` 返回 `403 Forbidden`。

我刚刚重新访问了完整 URL，目前仍然可以正常取得蒙古包图片，这也说明当前签名链接本身仍然有效。

## 在 Windows CMD 中为什么会出问题

微软的 `cmd.exe` 文档明确说明，`&` 是命令分隔符，可以把多个命令放在同一行执行。要把 `&` 当成普通参数传递，必须使用双引号包围参数，或者在每个 `&` 前加转义符 `^`。([Microsoft Learn][1])

未加引号时，`CMD` 会近似按照下面的方式理解原命令。

```cmd
curl https://p3-sign.toutiaoimg.com/...jpeg?_iz=58558
&
from=article.pc_detail
&
lk3s=953192f4
&
x-expires=1784709231
&
x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D
```

因此，正确写法应该把整个 URL 放进英文双引号中。

```cmd
curl.exe -L -o mongolian-yurt.jpeg "https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D"
```

这里使用 `curl.exe`，可以明确调用 Windows 自带或单独安装的原生 `curl` 程序。

`-L` 用于跟随服务器可能返回的重定向。

`-o mongolian-yurt.jpeg` 用于把二进制图片保存到文件，而不是直接输出到终端窗口。

在 `CMD` 中也可以对每一个 `&` 单独转义。

```cmd
curl.exe https://example.com/image.jpeg?a=1^&b=2^&c=3
```

不过对于这种很长的签名 URL，给整个 URL 加双引号明显更可靠。

## 在 Bash、Git Bash、WSL 和 Linux 中的情况

在 `Bash` 中，`&` 是命令列表控制符。命令以 `&` 结束时，`Bash` 会把该命令放到后台异步运行。([GNU][2])

因此，在 `Git Bash`、`WSL`、Linux 终端、macOS 终端或常见容器环境里运行未加引号的 URL，也会发生类似截断。

适合这些终端的写法是使用单引号。

```bash
curl -L -o mongolian-yurt.jpeg 'https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D'
```

`Bash` 的单引号会保留其中每个字符的字面值，里面的 `&`、`?` 和 `%` 都不会再被当成 `Shell` 语法。([GNU][2])

双引号在这个 URL 上通常也可以工作。

```bash
curl -L -o mongolian-yurt.jpeg "https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D"
```

不过在 `Bash` 脚本中，静态 URL 使用单引号更直观，因为单引号内部不会发生变量替换和命令替换。

## 在 PowerShell 中的正确写法

在 `PowerShell` 中也应该把完整 URL 当成一个字符串参数。单引号字符串属于逐字字符串，内容不会进行变量替换或表达式求值。([Microsoft Learn][3])

推荐使用下面的命令。

```powershell
curl.exe -L -o .\mongolian-yurt.jpeg 'https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D'
```

也可以先存入变量。

```powershell
$url = 'https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D'

curl.exe -L -o .\mongolian-yurt.jpeg $url
```

这种写法也方便检查变量长度和内容。

```powershell
$url
$url.Length
```

`PowerShell` 调用原生程序时存在自己的一层参数解析规则，外层引号由 `PowerShell` 处理后，字符串内容才会传给 `curl.exe`。微软也专门记录了不同 `PowerShell` 版本在原生命令参数传递方面的差异。([Microsoft Learn][4])

## 怎样证明 curl 收到的是完整 URL

可以加上 `-v`，观察 `curl` 真正发送的 HTTP 请求。

在 Windows 中运行。

```cmd
curl.exe -v -o NUL "https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D"
```

在 Linux、WSL 或 Git Bash 中运行。

```bash
curl -v -o /dev/null 'https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D'
```

`curl -v` 会显示发送出去的请求头和服务器返回的响应头，发送内容以 `>` 开头，接收内容以 `<` 开头。([Curl][5])

正常情况下，输出中应该能看到完整请求路径。

```text
> GET /tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%3D HTTP/1.1
```

未加引号时，很可能只能看到下面这一截。

```text
> GET /tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558 HTTP/1.1
```

看到这里，就能直接确认 `403` 的触发原因是查询参数被命令行吃掉了，而不是 `curl` 无法显示图片。

## 一个 Windows 批处理文件里的额外陷阱

在交互式 `CMD` 窗口中，下面的双引号写法通常可以直接使用。

```cmd
curl.exe "https://example.com/file?signature=abc%3D"
```

但如果把命令写进 `.bat` 或 `.cmd` 文件，百分号还可能触发批处理参数或变量展开。原 URL 末尾存在 `%3D`，批处理解析器可能把 `%3` 当成第三个位置参数。

在批处理文件中，可以把 `%` 写成 `%%`。

```bat
curl.exe -L -o mongolian-yurt.jpeg "https://p3-sign.toutiaoimg.com/tos-cn-i-axegupay5k/d4fb186279f74f30800c5b970fa22584~tplv-tt-origin-web:gif.jpeg?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1784709231&x-signature=GpM4vz6yycGYMf3lSDQXp9l2xUs%%3D"
```

这条规则只需要特别留意 `.bat` 和 `.cmd` 文件。直接在终端交互运行时，不要无故把 `%3D` 改成 `%%3D`。

## 加了引号以后仍然返回 403 时怎么排查

如果完整 URL 已经加引号，但仍然收到 `403`，可以按下面的顺序判断。

先看 `curl -v` 中的 `GET` 行，确认五个参数一个不少。签名 URL 对字符非常敏感，不要重新排序查询参数，不要删除 `%3D`，也不要把英文半角字符改成中文全角字符。

再检查链接是否已经过期。这条 URL 的 `x-expires=1784709231` 表示一个失效时间。链接失效后，浏览器和 `curl` 都可能收到 `403`。

随后检查是否经过了公司代理、网关或安全软件。可以观察 `curl -v` 中是否出现代理连接信息，或者检查环境变量。

```cmd
set HTTP_PROXY
set HTTPS_PROXY
```

PowerShell 中可以查看。

```powershell
Get-ChildItem Env:HTTP_PROXY
Get-ChildItem Env:HTTPS_PROXY
```

只有在确认 URL 完整、签名有效后，才有必要比较浏览器和 `curl` 的请求头。例如测试服务器是否要求特定的 `Referer` 或 `User-Agent`。

```cmd
curl.exe -L ^
  -A "Mozilla/5.0" ^
  -e "https://www.toutiao.com/" ^
  -o mongolian-yurt.jpeg ^
  "完整 URL"
```

不过针对当前现象，最应该修复的不是 `User-Agent` 或 Cookie，而是把 URL 整体放进引号中。当前完整地址可以直接访问，而未加引号的命令恰好会在第一个 `&` 处被拆开，这两点已经构成了非常清晰的因果链。

[1]: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/cmd "cmd | Microsoft Learn"
[2]: https://www.gnu.org/software/bash/manual/bash.html "Bash Reference Manual"
[3]: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_quoting_rules?view=powershell-7.6 "about_Quoting_Rules - PowerShell | Microsoft Learn"
[4]: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_parsing?view=powershell-7.6 "about_Parsing - PowerShell | Microsoft Learn"
[5]: https://curl.se/docs/manpage.html?utm_source=chatgpt.com "curl man page"


这条 403 Forbidden 大概率不是服务器专门封锁了 curl，而是命令行解释器在 curl 启动之前，已经把 URL 里的 & 当成了命令控制符。

浏览器能打开，curl 却返回 403，真正原因通常是 URL 被命令行截断了

紫薇堂堂主

开发工具

后端

网络与通信

命令行中URL参数被截断导致403错误？解析curl请求中&符号的正确转义方法，解决Windows/Linux/PowerShell环境下的URL请求问题，确保签名参数完整传递避免服务器鉴权失败。

测试服务

代码解释

服务器

解释器

Windows

容器

Linux

Agent

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

浏览器能打开，curl 却返回 403，真正原因通常是 URL 被命令行截断了-腾讯云开发者社区-腾讯云

浏览器能打开，curl 却返回 403，真正原因通常是 URL 被命令行截断了

浏览器能打开，curl 却返回 403，真正原因通常是 URL 被命令行截断了

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐