阿里云盘与夸克云盘Token/Cookie获取全攻略：原理、实战与排错

1. 项目缘起：为什么我们需要云盘的令牌与Cookie？

如果你正在折腾一些个人云盘相关的自动化工具，比如Alist、ZFile这类网盘目录程序，或者想用青龙面板之类的工具自动签到领空间，那你大概率会遇到一个绕不开的门槛：如何获取阿里云盘或夸克云盘的refresh_token？又或者，当工具提示failed to refresh token: 400 bad request: invalid 'refresh_token': empty string时，你该如何是好？

这不仅仅是填个账号密码那么简单。现代云服务，尤其是国内的这些大厂产品，出于安全和风控的考虑，早已摒弃了简单的密码登录方式。它们普遍采用基于OAuth 2.0或类似机制的令牌（Token）体系。你的账号密码只在初次授权时使用，换取一个有时效性的访问令牌（access_token）和一个用于刷新令牌的refresh_token。而Cookie，则是浏览器与服务器维持会话状态的“通行证”，包含了登录态、用户偏好等信息。

所以，当你想要让一个第三方程序（非官方客户端）代表你去操作云盘时，你就必须提供这些凭证。refresh_token是关键中的关键，因为它相对长效，可以用来在access_token过期后自动获取新的，从而实现“一次授权，长期有效”。而直接获取Cookie，则是在某些需要模拟浏览器登录状态的场景下（比如网页端爬虫）的必备步骤。

网上教程很多，但要么步骤过时，要么语焉不详，更别提那些令人头疼的错误提示了。今天，我就结合最新的网络实践，把阿里云盘和夸克云盘这两种主流服务的凭证获取方法，以及背后的原理、常见的坑，给你彻底讲透。无论你是为了搭建Alist，还是解决青龙面板的配置问题，这篇文章都能让你从“知其然”到“知其所以然”。

2. 核心原理：Token与Cookie到底是什么？为何缺一不可？

在动手之前，我们有必要花几分钟搞清楚我们在操作什么。这能帮你理解为什么步骤是那样设计的，以及在出错时如何排查。

2.1 Token体系：OAuth 2.0的简化应用

虽然阿里云盘和夸克云盘未必完全遵循标准的OAuth 2.0协议，但其核心思想是一致的：资源所有者（你）授权第三方应用（Alist等）在限制的权限内访问受保护的资源（你的云盘文件）。

这个过程通常不直接给密码，而是通过令牌：

• Access Token (访问令牌)：一把“临时门禁卡”。它拥有访问API的权限，但寿命很短（通常是几小时）。拿着它，第三方应用就能在有效期内读取你的文件列表、上传下载等。
• Refresh Token (刷新令牌)：一把“配钥匙的模具”。它本身不能直接开门，但可以用来申请新的access_token。它的有效期非常长（可能长达数月甚至永久，除非你主动撤销授权）。我们千方百计要获取的，主要就是这个refresh_token。有了它，我们的程序就能在后台自动维持访问权限，无需你反复登录。

当你在Alist里配置阿里云盘，填入refresh_token后，Alist的工作流程是这样的：

1. 首次启动，使用你提供的refresh_token去阿里云盘的认证服务器换取一个有效的access_token。
2. 用这个access_token去调用阿里云盘的API，列出文件、执行操作。
3. 几小时后，access_token过期，Alist会自动再次使用那个refresh_token去换取一个新的access_token，如此循环。

所以，那个failed to refresh token: 400 bad request的错误，根本原因就是Alist手里的refresh_token是空的、无效的、或者已经过期被撤销了。它拿着一个“假的模具”去配钥匙，服务器当然会拒绝。

2.2 Cookie：浏览器会话的“身份证”

Cookie是另一个维度的凭证。当你用浏览器登录网页版阿里云盘或夸克云盘时，服务器会在你的浏览器里设置一些Cookie字段。这些字段就像是你进入网站后佩戴的“大会胸牌”，上面写着你的会话ID、登录状态等。服务器看到这些Cookie，就知道“哦，是你，已经登录过了，请进”。

在以下场景，Cookie比Token更有用：

• 需要模拟完整网页登录状态：例如，你想用Python爬虫抓取网页版云盘中某些需要登录才能看到的页面结构或数据。直接调用API可能复杂，而携带Cookie访问网页则简单直接。
• 某些官方未开放API的操作：有些功能可能只有网页端有，没有对应的公开API。通过分析网页请求，携带Cookie去模拟这些请求，就能实现自动化。
• 快速测试与调试：在浏览器开发者工具（F12）里，你能直接看到、复制当前会话的所有Cookie，用于快速测试某个接口是否可用。

2.3 Token与Cookie的关系与选择

• 目的不同：Token主要用于程序化、自动化的API调用，是“机器对机器”的认证方式。Cookie主要用于模拟浏览器行为，是“机器模拟人对服务器”的认证方式。
• 安全性：Token（特别是OAuth方式）的权限可以细分（只读、读写等），且可以独立于密码进行吊销，相对更安全。Cookie如果泄露，攻击者可能完全接管你的会话。
• 获取难度：获取refresh_token通常需要一点“技术手段”，比如拦截网络请求或使用开发者工具。获取Cookie则相对简单，打开F12就能找到。
• 稳定性：一个有效的refresh_token可能长期稳定。而Cookie中的会话信息通常有过期时间，或者在你退出登录、修改密码后立即失效。

对于大多数网盘挂载程序（如Alist），首选且推荐的方式是使用refresh_token。对于网页自动化、爬虫等场景，则可能需要获取并使用Cookie。

3. 实战：获取阿里云盘Refresh Token的三种主流方法

网上方法层出不穷，但核心思路都是：诱使阿里云盘的登录流程暴露出包含refresh_token的响应。这里介绍三种经过验证、目前（基于当前网络信息）仍可用的方法，并分析其优劣。

3.1 方法一：使用第三方在线工具（最快捷，但需谨慎）

这是小白用户最常用的方法，原理是有人已经写好了网页，帮你完成了拦截和解析的步骤。

1. 打开工具页面：在浏览器中访问一些开发者提供的阿里云盘Token获取页面（这里不提供具体链接，请自行搜索“阿里云盘 refresh_token 获取工具”等关键词，选择GitHub上Star数较多、近期有更新的项目）。
2. 扫码登录：页面通常会显示一个二维码。打开你的手机阿里云盘APP，使用“扫一扫”功能扫描这个二维码。
3. 确认登录：手机上会提示“确认登录”，点击确认。
4. 获取Token：确认后，网页工具页面会自动跳转或刷新，并显示一长串字符，这就是你的refresh_token。完整内容可能是一个JSON对象，你需要从中找到"refresh_token": "xxxxxx"这后面的字符串并复制。

注意：此方法虽然方便，但存在安全风险。因为你将登录授权给了一个第三方网页。务必选择信誉良好的开源项目，并在获取Token后，立即去阿里云盘官方网页的“账号安全”或“应用授权”页面，取消对该第三方应用的授权。这是非常重要的安全习惯。

3.2 方法二：浏览器开发者工具抓包（最通用，可学习原理）

这个方法不依赖第三方，直接利用浏览器自身的功能，适合想了解过程的用户。

1. 打开无痕窗口：使用Chrome、Edge或Firefox浏览器的无痕/隐私窗口。这能避免现有Cookie的干扰。
2. 打开开发者工具：按F12打开开发者工具，切换到“网络”(Network)选项卡。勾选上“保留日志”(Preserve log)。
3. 访问登录页面：在地址栏访问阿里云盘的官方登录页（如https://www.aliyundrive.com/sign/in）。
4. 开始监控并登录：在开发者工具网络面板可见的情况下，使用账号密码或扫码登录你的阿里云盘。
5. 筛选并查找请求：登录成功后，网络面板会出现大量请求。在筛选栏输入关键字，如token或refresh。
6. 分析请求响应：仔细查看筛选出的请求，特别是来自auth.aliyundrive.com或api.aliyundrive.com域名的POST请求。点击其中一个，查看“响应”(Response)标签页。你可能会看到一个JSON响应，里面包含了refresh_token、access_token等信息。直接复制整个refresh_token字段的值。

如果找不到，可以尝试搜索callback或查看返回数据量较大的请求。关键在于登录成功后的第一个或第二个认证回调请求。

3.3 方法三：使用浏览器扩展拦截（自动化程度高）

有一些专门用于抓取网站Token的浏览器扩展，例如“EditThisCookie”的变体或某些开发者自制的脚本。这些扩展会在你登录时自动捕获页面LocalStorage或请求中的Token信息并展示出来。

1. 在浏览器的扩展商店搜索相关工具（注意辨别安全性）。
2. 安装后，按照扩展说明，访问阿里云盘并登录。
3. 扩展图标可能会显示或弹出通知，点击即可查看捕获到的refresh_token。

实操心得：我个人最推荐方法二。虽然步骤稍多，但它不依赖任何外部服务，最安全，也最能让你理解整个认证流程。当你遇到问题（比如抓不到）时，你也有能力去排查。方法一在急需时可用，但务必记得事后取消授权。无论用哪种方法，获取到的refresh_token都是一串很长的、看似乱码的字符串，妥善保存，不要泄露。

4. 实战：获取夸克云盘Cookie的详细步骤

夸克云盘的情况略有不同。由于其API可能不如阿里云盘开放，或者某些特定场景（如用于某些签到脚本）需要，获取其网页版的Cookie是一种更直接的方式。这个过程就是标准的浏览器Cookie获取流程。

1. 使用浏览器登录：打开Chrome、Edge等浏览器，访问夸克云盘的网页版（如cloud.quark.cn）。使用你的账号密码或扫码完成登录。
2. 打开开发者工具：在已登录的夸克云盘页面，按F12键打开开发者工具。
3. 定位到应用（Application）面板：在开发者工具顶部选项卡中，找到并点击“应用”(Application)（在Chrome中；Firefox中可能是“存储Storage”）。
4. 查找Cookie：在左侧导航栏，找到“存储”(Storage)->“Cookie”-> 然后点击当前网站的域名（如cloud.quark.cn）。
5. 复制Cookie值：右侧会列出该网站设置的所有Cookie条目。你需要找到那些看起来像是身份验证的Cookie，通常名称可能包含SESSION、token、auth、login等关键词。对于夸克网盘，关键的Cookie可能叫做QC_SESSION、QINGCLOUD_ELB等（具体名称可能随时间变化）。
   • 单个复制：你可以右键点击某个关键的Cookie行，选择“复制值”。
   • 整行复制（应对复杂需求）：如果你使用的脚本需要完整的Cookie字符串（如name1=value1; name2=value2; ...），你无法直接一键复制。你需要手动拼接：将你认为重要的Cookie的“名称”和“值”用等号连接，不同Cookie之间用分号和空格分隔。例如，你找到了QC_SESSION=abc123和QINGCLOUD_ELB=def456，那么完整的Cookie字符串就是QC_SESSION=abc123; QINGCLOUD_ELB=def456。
6. 在F12控制台快速获取：还有一个更快捷的方法。在开发者工具的“控制台”(Console)选项卡中，输入document.cookie然后按回车。这会直接输出当前页面所有Cookie拼接好的字符串，你可以直接复制。但请注意，HttpOnly的Cookie用这个方法看不到，不过对于大多数模拟请求的场景，非HttpOnly的Cookie已经足够。

注意事项：网页Cookie是有会话有效期的。关闭浏览器后可能失效（如果是会话Cookie），或者一段时间不活动后失效。因此，用Cookie配置的自动化任务可能不如refresh_token稳定，需要定期更新。另外，Cookie泄露的风险很高，一旦被他人获取，他就能在浏览器中直接登录你的账号，请务必像保管密码一样保管它。

5. 排坑指南：常见错误与解决方案

获取凭证只是第一步，在实际使用中，你会遇到各种各样的问题。下面我梳理了几个最常见的问题及其排查思路。

5.1 错误：failed to refresh token: 400 bad request: invalid 'refresh_token': empty string

这是Alist等工具最常报告的错误之一。它的意思是“刷新令牌失败：请求错误：无效的‘refresh_token’：空字符串”。

• 根因分析：这明确告诉你，你提供给程序的refresh_token是空的、根本不存在，或者格式完全错误，以至于程序认为它是一个空字符串。
• 排查步骤：
  1. 检查配置：首先，百分之百确认你复制粘贴的refresh_token字符串完整无误，没有遗漏开头或结尾的字符，中间没有多余的空格或换行。最好将配置框清空，重新手动输入一遍。
  2. 验证Token有效性：你获取的refresh_token可能本身就是无效的。回顾你的获取过程：
     • 如果使用在线工具，是否在扫码授权后成功跳转并显示了Token？还是页面报错了？
     • 如果使用抓包，是否确认你复制的是登录成功后、来自阿里云盘认证服务器的响应中的refresh_token，而不是其他无关文本？
  3. 重新获取：最直接的办法，撤销之前的授权，然后重新走一遍完整的获取流程。对于阿里云盘，去“账号安全”->“应用授权”里，取消所有你不认识的第三方应用授权，然后重新扫码获取新的refresh_token。
  4. 检查是否已过期或被撤销：如果你这个Token已经用了很久，有可能阿里云盘后台已经使其失效。同样，重新获取是唯一解。

5.2 错误：Token获取成功，但Alist仍无法列出文件或提示无权限

• 根因分析：refresh_token有效，但用它换取的access_token权限不足，或者你的阿里云盘账号本身存在问题（如未实名认证、处于风控状态）。
• 排查步骤：
  1. 检查账号状态：登录阿里云盘官方APP或网页，确认账号可以正常使用，文件可以正常访问。确保账号已完成实名认证，这是使用很多服务的前提。
  2. 查看Alist日志：Alist的日志通常会给出更详细的错误信息。查看日志中在换Token和列目录时的具体报错，可能提示“权限错误”、“账号异常”等。
  3. 尝试官方API测试：有一些在线的阿里云盘API测试工具，你可以将refresh_token填入，尝试直接调用一个简单的“获取用户信息”或“列根目录”的API，看是否成功。这能帮你定位是Alist的问题还是Token/账号的问题。

5.3 问题：夸克云盘Cookie很快失效

• 根因分析：如前所述，网页Cookie（尤其是会话Cookie）本身设计就是临时的。夸克云盘可能设置了较短的有效期，或者检测到异常登录行为（如IP频繁变动）而主动使会话失效。
• 解决方案：
  1. 寻找长效Cookie：仔细检查开发者工具中Cookie的“过期时间/最大寿命”列。寻找那些过期时间设置得很远的Cookie（例如几个月后），它们更稳定。
  2. 模拟正常用户行为：你的自动化脚本在获取Cookie后，不要立即进行高频操作。可以适当增加延迟，模拟真人浏览。
  3. 实现Cookie池与自动更新：对于严肃的项目，需要设计机制来管理多个Cookie，并在检测到失效时自动触发重新登录流程以获取新Cookie。这涉及到模拟登录、验证码识别（如果有）等更复杂的技术。

5.4 通用建议与安全提醒

• 隔离环境：建议专门注册一个“小号”阿里云盘或夸克网盘账号用于这些第三方工具集成，避免主账号风险。
• 定期轮换凭证：不要指望一个refresh_token或 Cookie 能用一辈子。定期检查工具是否工作正常，并做好手动更新的准备。
• 关注项目动态：Alist等项目的文档和GitHub Issue是宝藏。你遇到的问题很可能别人已经遇到并解决了。多去那里寻找答案。
• 理解原理优于照搬步骤：本文提供的步骤可能会因为云盘官方的改版而失效。但只要你理解了Token和Cookie的原理，以及抓包、开发者工具的基本使用方法，你总能找到新的获取方式。核心就是：监控登录过程中的网络请求，寻找携带认证信息的响应。