如何从Postman rest客户端发送spring csrf令牌？

Question

我在Spring框架中有csrf保护。所以在每个请求中，我都从ajax调用中发送csrf令牌，这是完美的工作。

<meta name="_csrf" content="${_csrf.token}"/>
<meta name="_csrf_header" content="${_csrf.headerName}"/>

var token = $("meta[name='_csrf']").attr("content");
var header = $("meta[name='_csrf_header']").attr("content");

在ajax

beforeSend: function(xhr) {
                xhr.setRequestHeader(header, token),
                xhr.setRequestHeader("username", "xxxx1"),
                xhr.setRequestHeader("password", "password")
            }

Answer 1

首先，你需要安装邮递员拦截器并激活它来访问浏览器cookie。

>

您必须通过发出GET请求来获取CSRF令牌：头："XSRF-TOKEN"和值："Fetch"

你应该在cookie选项卡中看到令牌并可以复制它（注意：你可以配置spring如何命名cookie。也许你的cookie有另一个名称而不是“XSRF-Token”。注意：你有权从换行符中删除令牌中的这个空白字符）

现在制作您的POST请求，并将标题设置为：标题：“X-XSRF-TOKEN”和值：“您复制的无空白令牌”

Answer 2

我可以通过以下步骤使用csrf令牌发送REST：

>

在您登录时由Spring Security自动生成的CSRF令牌。它将显示在响应标头处。

通过将X-CSRF-token设置为头上的CSRF令牌，可以在后续请求中使用CSRF令牌。

Answer 3

要做到这一点，最简单的方法是始终如一，这样你就不必每次都拿到代币：

注意：您需要安装邮递员拦截器并激活它才能访问浏览器cookie

1. 创建一个新环境，以便存储环境变量

创建一个带有测试的登录方法，将XSRF cookie存储在一个环境变量中，在“测试”选项卡中发布此代码

//Replace XSFR-TOKEN with your cookie name
var xsrfCookie = postman.getResponseCookie("XSRF-TOKEN");
postman.setEnvironmentVariable("xsrf-token", xsrfCookie.value);

为任何使用5.5.2邮递员或更高版本的人编辑，您还必须解码cookie，正如@Sacapuces指出的，他们还提供了获取cookie的替代方法

pm.environment.set("xsrf-token", decodeURIComponent(pm.cookies.get("XSRF-TOKEN")))

现在，您将有一个包含xsrf令牌的环境变量。

保存您的登录方法

创建要创建的新帖子，并在标题中添加XSRF令牌标题键和句柄栏中的环境变量以访问它{{}