如何使用cURL登录到Spring Security登录表单？

Question

我正在一个springMVC项目中，其中用户身份验证基于Spring安全性。

这个想法是要拥有一个移动（android）应用程序，以便能够将某种数据发送到后端。

因此，在开始开发android之前，我决定使用cURL模拟登录表单的情况。

我们网站上的登录表单如下：

http://localhost:8080/app/user/login

我使用以下命令：

curl -F 'username=admin&password=admin' http://localhost:8080/app/user/login

但是我将获得登录页面，换句话说，我无法根据模拟情况通过用户身份验证。

只需注意：对于每一个请求，spring secure将创建类似于以下内容的随机令牌：

8863F732ADDE24CD167F4EF502A4333D

如何使用模拟情况（cURL或HTTPClient）基于Spring安全性传递登录表单

Answer 1

cURL像这样使用：

 curl -d j_username=admin -d j_password=admin -L http://localhost:8080/app/j_spring_security_check

CSRF

如果得到类似的信息Expected CSRF token not found. Has your session expired?，则表示已启用CSRF令牌保护。要使用cURL进行测试，您需要一个cookie和一个CSRF令牌本身。

以下命令会将所有cookie写入一个名为的文件，cookie并打印出CSRF令牌。Spring
Security的默认令牌参数名称为_csrf，如果您进行了更改，则还需要更改grep csrf。

curl --cookie-jar cookie -L http://localhost:8080/app/j_spring_security_check  | grep csrf

然后，您可以执行下一个命令，该命令将传递文件中的所有cookie。别忘了用上|your_token_value|一个命令打印出的实际值替换（_csrf如果您更改了它，则返回参数名）。

curl --cookie cookie -d "j_username=admin&j_password=admin&_csrf=|your_token_value|" -L http://localhost:8080/app/j_spring_security_check

从Spring Security 3.x到4.x

请注意，在春季安全4.x的缺省值login-processing-url从更改/j_spring_security_check为POST
/login，默认值username-parameter从改变j_username到username的并且默认值password- parameter从变化j_password到password。如果应用程序显式提供了这些属性，则迁移不需要任何操作。