如何卷曲已验证的Django应用程序？

Question

我有几个API要用cURL测试。我试着做一个如下的GET：

curl --user username:password --request GET http://my_domain/get_result/52d6428f3ea9a008358ad2d8/

在服务器上，它显示了一个“302”（这意味着重定向，对吗？）。我猜它被重定向到了“login/”页面。

正确的方法是什么？

编辑：我试过：

curl -c cookies.txt -b cookies.txt -L -d @login_form.txt http://my_domain/login/

这里是登录表单。txt包含“用户名=用户名”

Answer 1

实际上@Paterino的答案是正确的，但它不会在每一个实现的sed工作。取而代之的se's/^.*csrfToken\s*//')我们可以使用se's/^.*csrfToken[[：空白:]]*//')这是更老式的。MacOSX的curl不使用转义，所以\n\t\s根本不起作用。

Answer 2

在curl请求中传递用户名：密码只适用于HTTP身份验证，这不是现在大多数网站的身份验证方式。相反，您必须发布到登录页面，获取cookie，然后在请求所需页面时将其传回。

Answer 3

这是一个完全编码的答案。解决方案的理念是：

1. 您必须首先使用GET访问登录页面，才能生成cookies文件。

之后，您可以始终使用数据中的CSRF令牌（$DJANGO_令牌）或自定义的X-CSRFToken头执行任何请求。要注销，只需删除cookies文件。

请注意，您需要一个裁判（-e）来使Django的CSRF检查愉快。

LOGIN_URL=https://yourdjangowebsite.com/login/
YOUR_USER='username'
YOUR_PASS='password'
COOKIES=cookies.txt
CURL_BIN="curl -s -c $COOKIES -b $COOKIES -e $LOGIN_URL"

echo -n "Django Auth: get csrftoken ..."
$CURL_BIN $LOGIN_URL > /dev/null
DJANGO_TOKEN="csrfmiddlewaretoken=$(grep csrftoken $COOKIES | sed 's/^.*csrftoken\s*//')"

echo -n " perform login ..."
$CURL_BIN \
    -d "$DJANGO_TOKEN&username=$YOUR_USER&password=$YOUR_PASS" \
    -X POST $LOGIN_URL

echo -n " do something while logged in ..."
$CURL_BIN \
    -d "$DJANGO_TOKEN&..." \
    -X POST https://yourdjangowebsite.com/whatever/

echo " logout"
rm $COOKIES

我有一个稍微安全一点的代码版本，它使用一个文件来提交POST数据，作为GitHub:django csrftoken登录演示的要点。猛击

关于Django的CSRF令牌的有趣背景阅读在docs上。Django项目。通用域名格式。