我们是否可以在没有提交表格的情况下获取数据,以便通过邮递员提供CSRF令牌

Question

我通过邮递员点击HTTP API从网站获取一些数据.它对我来说很好,但从最近几天它给了我一个错误,即

无效的csrf令牌403

因此,当我使用chrome中的开发人员工具进行检查时,请转到网站的网络选项卡并检查API.

所以现在该站点还在头字段中发送CSRF-Token.

所以我知道我可以生成csrf令牌的API.

我还从API获取令牌,并在原始站点中发送带有标头的令牌.

但我想知道为什么每次API返回无效的csrf令牌

是否可以通过邮递员发送CSRF令牌.因为我知道有关csrf令牌用于停止伪造请求.而现场有CSRF令牌的隐藏字段的格式,并作为表单提交的浏览器从隐藏字段获得令牌和工作原理是这样.

我想知道一些事情: -

1)是否可以通过邮递员在标题字段中发送csrf标记.或者我们必须通过浏览器登录该站点,然后我们才能获取数据.

2)如何使用Postman从网站获取数据？

3)我是否需要使用一些无头浏览器来实现这一目标？

4)当我查看帖子时,他们说我们需要在cookie中设置csrf-token然后我们可以从cookie中获取令牌并发送请求.

任何帮助深表感谢.

谢谢

Answer 1

通常，CSRF 令牌实现与会话绑定，因此请确保您使用相同的会话。当您调用返回 CSRF 令牌时，将创建会话。

如果后端使用 cookie 来实现会话，则可以使用 Post man 中的 cookie 拦截器来传递相同的会话 cookie。