如何将curl与Django、csrf令牌和POST请求一起使用

Question

我正在使用curl来测试我的Django表单之一。我尝试过的调用（每个都有错误，为了可读性，多行调用）：

(1):

curl
-d "{\"email\":\"[e-mail]\"}"
--header "X-CSRFToken: [triple checked value from the source code of a page I already loaded from my Django app]"
--cookie "csrftoken=[same csrf value as above]"
http://127.0.0.1:8083/registrations/register/

（在cookie中使用http头和csrftoken）会导致400错误，并且不会返回任何数据。

(2):

curl
-d "{a:1}"
--header "X-CSRFToken:[as above]"
--cookie "csrftoken=[as above];sessionid=[from header inspection in Chrome]"
http://127.0.0.1:8083/registrations/register/

（如（1）中所示，但标头属性声明中没有空格，cookie中也有sessionid）会导致相同的400错误，并且没有返回任何数据。

(3):

curl
-d "{a:1}"
--header "X-CSRFToken:[as above]"
http://127.0.0.1:8083/registrations/register/

（只有带有X-CSRFToken，没有cookie的http头）导致错误代码403，消息为：未设置CSRF cookie。

如何使用curl测试我的表单？除了cookie值和http头之外，我还没有考虑哪些因素？

Answer 1

我是这样和curl一起工作的

• 您必须以X-csrftoken的形式提交标头中的csrftoken
• 您必须以JSON格式提交表单数据。演示

首先我们会csrf_token

$ curl -c cookie.txt http://localhost.com:8000/ 

曲奇文本内容

# Netscape HTTP Cookie File
# http://curl.haxx.se/docs/http-cookies.html
# This file was generated by libcurl! Edit at your own risk.
localhost.com  FALSE   /   FALSE   1463117016  csrftoken   vGpifQR12BxT07moOohREGmuKp8HjxaE

接下来，我们以json格式重新发送用户名、密码。（你可以用正常的方式发送）。检查json数据转义。

$curl --cookie cookie.txt http://localhost.com:8000/login/   -H "Content-Type: application/json" -H "X-CSRFToken: vGpifQR12BxT07moOohREGmuKp8HjxaE" -X POST -d "{\"username\":\"username\",\"password\":\"password\"}" 
{"status": "success", "response_msg": "/"}
$

您可以将返回的新csrf_令牌会话cookie存储在同一个文件或新文件中（我使用选项-c存储在同一个文件中）

$curl --cookie cookie.txt http://localhost.com:8000/login/   -H "Content-Type: application/json" -H "X-CSRFToken: kVgzzB6MJk1RtlVnyzegEiUs5Fo3VRqF" -X POST -d "{\"username\":\"username\",\"password\":\"password\"}" -c cookie.txt

-cookie的内容。文本

# Netscape HTTP Cookie File
# http://curl.haxx.se/docs/http-cookies.html
# This file was generated by libcurl! Edit at your own risk.

localhost.com  FALSE   /   FALSE   1463117016  csrftoken   vGpifQR12BxT07moOohREGmuKp8HjxaE
#HttpOnly_localhost.com    FALSE   /   FALSE   1432877016  sessionid   cg4ooly1f4kkd0ifb6sm9p

当你储存新的csrf_token

您正在从cookie的上一个请求中读取cookie。txt（--cookie）并从同一cookie中的响应写入新cookie。txt（-c）。

阅读

$curl --cookie cookie.txt http://localhost.com:8000/home/

Answer 2

尝试：

curl
 -d "email=[e-mail]&a=1"
 http://127.0.0.1:8083/registrations/register/

请特别注意-d参数的格式。

但是，这可能行不通，因为视图可能需要POST请求而不是GET请求。因为它将修改数据，而不仅仅是返回信息。

只有“不安全”请求（POST、PUT、DELETE）才需要CSRF保护。它通过对照“csrfmiddlewaretoken”表单字段或“X-csrftoken”http头检查“csrftoken”cookie来工作。

因此：

curl
 -X POST
 -d "email=[e-mail]&a=1&csrfmiddlewaretoken={inserttoken}"
 --cookie "csrftoken=[as above]"
 http://127.0.0.1:8083/registrations/register/

也可以使用--header“X-CSRFToken:{token}”而不是将其包含在表单数据中。

Answer 3

Damien的回答和你的第二个例子混合在一起对我有效。我使用了一个简单的登录页面进行测试，我希望您的注册视图是类似的。Damien的回答几乎有效，但缺少了sessionidcookie。

我建议采用更稳健的方法。不要手动输入来自其他请求的cookie，尝试使用curl的内置cookie管理系统来模拟完整的用户交互。这样，您就减少了出错的机会：

$ curl -v -c cookies.txt -b cookies.txt host.com/registrations/register/
$ curl -v -c cookies.txt -b cookies.txt -d "email=[e-mail]&a=1&csrfmiddlewaretoken=<token from cookies.txt>" host.com/registrations/register/

第一个curl模拟用户第一次使用GET请求到达页面，并保存所有必要的cookie。第二个旋度模拟填充表单字段并将其作为POST发送。请注意，按照Damien的建议，您必须在POST数据中包含csrfmiddlewaretoken字段。