XMLHTTP请求https自定义Header_请求头设置方法
Microsoft.XMLHTTP对象在HTTPS请求上的局限性比较明显，它使用WinInet底层，继承了IE的安全设置，在服务端长期运行时存在资源泄漏、连接不释放、会话隔离等问题。微软官方推荐在服务端使用ServerXMLHTTP或WinHTTP.WinHTTPRequest.5.1对象替代XMLHTTP，这两个对象专门为服务端设计，HTTPS支持更好，资源管理更可靠。本文对比三种对象的区别，讲解如何用ServerXMLHTTP和WinHTTP替代XMLHTTP解决HTTPS请求问题，同时给出忽略证书验证、设置安全协议等实用技巧。
XMLHTTP和ServerXMLHTTP的核心区别。XMLHTTP（Microsoft.XMLHTTP / MSXML2.XMLHTTP）基于WinInet，为客户端设计，依赖IE设置和用户会话，在服务端并发使用时可能出现资源泄漏和连接不释放，不推荐在ASP服务端长期使用。ServerXMLHTTP（MSXML2.ServerXMLHTTP）基于WinHTTP的早期版本，为服务端设计，独立于IE会话，支持更多配置选项，是XMLHTTP的服务端替代品。WinHTTP.WinHTTPRequest.5.1是最新的服务端HTTP对象，基于新版WinHTTP，性能更好，HTTPS支持更完善。在新代码中优先使用WinHTTP.WinHTTPRequest.5.1，旧代码可以逐步从XMLHTTP迁移到ServerXMLHTTP。
WinHTTP.WinHTTPRequest.5.1是另一个推荐的服务端HTTP请求对象，比ServerXMLHTTP更轻量，HTTPS支持更好，是微软新一代的HTTP客户端。创建对象：Set http = CreateObject("WinHTTP.WinHTTPRequest.5.1")。用法：http.open "GET", "https://目标地址", False http.send。WinHTTP支持setOption方法忽略证书错误：Const WINHTTP_OPTION_SECURITY_FLAGS = 4 Const SECURITY_FLAG_IGNORE_UNKNOWN_CA = &H100 Const SECURITY_FLAG_IGNORE_CERT_DATE_INVALID = &H2000 Const SECURITY_FLAG_IGNORE_CERT_CN_INVALID = &H1000 Const SECURITY_FLAG_IGNORE_CERT_WRONG_USAGE = &H2000000 http.setOption WINHTTP_OPTION_SECURITY_FLAGS, SECURITY_FLAG_IGNORE_UNKNOWN_CA Or SECURITY_FLAG_IGNORE_CERT_DATE_INVALID Or SECURITY_FLAG_IGNORE_CERT_CN_INVALID。WinHTTP在Windows Server 2008及以上系统自带。
微软官方推荐在服务端使用MSXML2.ServerXMLHTTP.6.0替代Microsoft.XMLHTTP。ServerXMLHTTP专门为服务端设计，不依赖IE的用户界面会话，支持setOption忽略证书错误、setTimeouts设置超时、setProxy设置代理，HTTPS支持更完善。创建对象：Set http = CreateObject("MSXML2.ServerXMLHTTP.6.0")。基本用法和XMLHTTP相同：http.open "GET", "https://目标地址", False http.send。区别在于ServerXMLHTTP 6.0提供了更多配置方法，能解决大部分XMLHTTP的HTTPS问题。如果服务器上没有6.0版本，可以用MSXML2.ServerXMLHTTP.3.0，但功能较少。
XMLHTTP请求HTTPS最常见的错误是「安全通道无法建立」或「未知的安全错误」，错误代码通常是-2147012867或0x80072F0D。原因是Windows系统的SSL/TLS协议版本不支持目标网站要求的协议。Windows Server 2008默认只支持SSL3和TLS1.0，而现在大部分HTTPS网站要求TLS1.2以上，握手失败。解决方法：安装KB3140245补丁（Windows Server 2008 R2的TLS1.2支持补丁），然后修改注册表启用TLS1.2作为默认安全协议。注册表路径：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet Settings，添加DWORD值SecureProtocols=2560（十进制，对应TLS1.0+TLS1.1+TLS1.2）。修改后重启服务器。
错误代码-2147012894（0x80072EE2）表示请求超时，HTTPS请求比HTTP慢，默认超时时间可能不够。解决方法：设置XMLHTTP的超时时间，用ServerXMLHTTP的setTimeouts方法：http.setTimeouts 10000, 10000, 30000, 30000（四个参数分别是解析超时、连接超时、发送超时、接收超时，单位毫秒）。XMLHTTP对象没有setTimeouts方法，需要用ServerXMLHTTP。同时检查服务器网络是否能访问目标HTTPS站点，用浏览器或curl测试连通性，防火墙是否放行443端口出站。
XMLHTTP请求HTTPS时保持会话和Cookie。有些接口需要登录后才能访问，需要先POST登录获取Cookie，再在后续请求中带上Cookie。XMLHTTP对象会自动管理Cookie（在同一个对象实例中），但如果每次请求都新建对象，Cookie会丢失。解决方法：复用同一个XMLHTTP对象，或手动提取和设置Cookie头。提取Cookie：cookie = http.getResponseHeader("Set-Cookie")，设置Cookie：http.setRequestHeader "Cookie", cookie。注意Set-Cookie可能包含多个值，需要解析提取有效的Cookie部分。HTTPS下的Cookie有Secure属性，只在HTTPS连接中传输，HTTP请求不会带上。
XMLHTTP请求HTTPS返回空白或乱码的处理。返回空白可能是因为响应内容是gzip压缩的，XMLHTTP不会自动解压。解决方法：在请求头中设置Accept-Encoding: identity，告诉服务器不要压缩：http.setRequestHeader "Accept-Encoding", "identity"。或者用ServerXMLHTTP的responseBody属性获取原始字节，再用ADODB.Stream解压。返回乱码是因为响应编码和页面编码不一致，用responseText获取时XMLHTTP用默认编码解析。解决方法：用responseBody获取字节，再用ADODB.Stream指定编码转换：Set stream = CreateObject("ADODB.Stream") stream.Type = 1 stream.Open stream.Write http.responseBody stream.Position = 0 stream.Type = 2 stream.Charset = "UTF-8" Response.Write stream.ReadText。
开发者反馈：「ASP程序用XMLHTTP请求HTTPS接口一直报安全通道错误，按文中方法装了KB3140245补丁改了注册表启用TLS1.2，重启后请求成功了，旧系统确实要手动开TLS1.2」「换成ServerXMLHTTP 6.0加setOption忽略证书错误，HTTPS请求马上通了，之前用XMLHTTP对象一直证书报错，换对象是最简单的解决方法」。
经验总结：XMLHTTP HTTPS问题的解决优先级：1.替换为ServerXMLHTTP 6.0或WinHTTP对象；2.设置忽略证书错误（测试用）；3.Win2008系统启用TLS1.2（打补丁+注册表）；4.检查代理和防火墙；5.正确安装根证书（生产环境）。新代码直接用WinHTTP.WinHTTPRequest.5.1，不要用旧的Microsoft.XMLHTTP。旧系统升级到Windows Server 2016/2019是根本解决方案，默认支持TLS1.2和TLS1.3，不需要额外配置。
更新时间：2026-09-01 13:52:22