Kullanıcı adı ve şifre ile cURL mu kullanıyorsunuz?

Bir kullanıcı adı / şifre gerektiren bir URL'ye erişmek istiyorum. Curl ile erişmeyi denemek istiyorum. Şu anda şöyle bir şey yapıyorum:

curl http://api.somesite.com/test/blah?something=123

Bir hata alıyorum. Yukarıdaki komutla birlikte bir kullanıcı adı ve şifre belirtmem gerekiyor.

Bunu nasıl yapabilirim?

-uBir kullanıcı adı eklemek için bayrağı kullanın; curl bir şifre isteyecektir:

curl -u username http://example.com

Parolayı komuta da ekleyebilirsiniz, ancak parolanız bash geçmişinde görünür olacaktır:

curl -u username:password http://example.com

Bunu yapmak daha güvenlidir:

curl --netrc-file my-password-file http://example.com

... komut satırında düz bir kullanıcı / parola dizesi iletilmesi kötü bir fikirdir.

Parola dosyasının biçimi (başına man curl):

machine <example.com> login <username> password <password>

Not:

1. Makine adı gerekir değil kapsar https://veya benzer! Sadece ana bilgisayar adı.
2. ' machine', ' login' Ve ' password' kelimeleri yalnızca anahtar kelimelerdir; gerçek bilgi bu anahtar kelimelerden sonraki şeylerdir.

Ya da aynı şey ama farklı sözdizimi

curl http://username:password@api.somesite.com/test/blah?something=123

Ayrıca kullanıcı adını yazarak da gönderebilirsiniz:

curl -u USERNAME http://server.example

Curl daha sonra sizden şifreyi soracaktır ve şifre ekranda görünmeyecektir (veya komutu kopyalamanız / yapıştırmanız gerekiyorsa).

Şifreyi bir komut dosyasında güvenli bir şekilde geçirmek için (yani ps auxf veya günlüklerle görünmesini önlemek için) bunu -K- bayrağı (stdin'den config'i okuyun) ve bir yorumlu metin ile yapabilirsiniz:

curl --url url -K- <<< "--user user:password"

Genellikle CURL komutu

curl https://example.com\?param\=ParamValue -u USERNAME:PASSWORD

Herhangi bir parolanız yoksa veya parola istemek için komut istemini atlamak istiyorsanız, parola bölümünü boş bırakın.

yani curl https://example.com\?param\=ParamValue -u USERNAME:

curl -X GET -u username:password  {{ http://www.example.com/filename.txt }} -O

Parolanın en az bilgisayarınızda görünmemesi için .bash_history:

curl -u user:$(cat .password-file) http://example-domain.tld

oldukça kolay, aşağıdakileri yapın:

curl -X GET/POST/PUT <URL> -u username:password

Diğer cevaplar netrc'yi okuduğum şeye göre kullanıcı adı ve şifre belirtmeyi önerdi. İşte bazı sözdizimi ayrıntıları:

https://ec.haxx.se/usingcurl-netrc.html

Diğer cevaplar gibi, bu soruyla ilgili güvenliğe dikkat etme ihtiyacını vurgulamak istiyorum.

Her ne kadar uzman olmasam da, şu bağlantıları anladım:

https://ec.haxx.se/cmdline-passwords.html

Özetlemek:

Kullanılması protokollerin şifreli sürümlerini (HTTPS, HTTP vs) (FTP vs FTPS) önlemek Ağ Kaçak yardımcı olabilir.

Netrc kullanmak Komut Satırı Sızıntısını önlemeye yardımcı olabilir.

Bir adım daha ileri gitmek için, netrc dosyalarını gpg kullanarak şifreleyebilirsiniz.

https://brandur.org/fragments/gpg-curl

Bununla kimlik bilgileriniz düz metin olarak "beklemede" (depolanmaz) olmaz.

Sade ve en güvenli yolu koymak kimlik bilgilerinizi depolamak / almak için ortam değişkenlerini kullanmak olacaktır. Böylece aşağıdaki gibi bir kıvırma komutu:

curl -Lk -XGET -u "${API_USER}:${API_HASH}" -b cookies.txt -c cookies.txt -- "http://api.somesite.com/test/blah?something=123"

Ardından dinlendirici api arayıp http geçerdi WWW_AuthenticationBase64 değerlerini kodlanmış ile başlık API_USERve API_HASH. -LkSadece http 30x yönlendirmeleri takip etmek ve işleme güvensiz TLS kullanmayı curl söyler (yani SSL hataları görmezden). İkili --sadece komut satırı bayraklarını işlemeyi durdurmak için sözdizimi şekeri bash. Ayrıca, -b cookies.txtve -c cookies.txtbayrakları çerezleri yerel olarak depolamak -bve -cçerezleri saklamakla çerezleri işler.

Kılavuzda daha fazla kimlik doğrulama yöntemi örneği bulunmaktadır .

Şu komutu kullanabilirsiniz,

curl -u user-name -p http://www.example.com/path-to-file/file-name.ext > new-file-name.ext

Sonra HTTP şifresi tetiklenir.

Referans: http://www.asempt.com/article/how-use-curl-http-password-protected-site

Kimlik bilgilerini kıvrılmaya geçirmenin en güvenli yolu, bunları eklemeniz istenir. Bu, kullanıcı adını daha önce önerildiği gibi ( -u USERNAME) iletirken olur .

Ancak kullanıcı adını bu şekilde geçemezseniz ne olur? Örneğin, kullanıcı adının URL'nin bir parçası olması gerekebilir ve yalnızca şifre json yükünün bir parçası olabilir.

tl; dr: Bu durumda kıvrımı bu şekilde güvenle kullanabilirsiniz:

read -p "Username: " U; read -sp "Password: " P; curl --request POST -d "{\"password\":\"${P}\"}" https://example.com/login/${U}; unset P U

read komut satırından hem kullanıcı adı hem de parola ister ve gönderilen değerleri sonraki komutlarda referans olabilecek iki değişkente saklar ve son olarak ayarlanamaz.

Diğer çözümlerin neden ideal olmadığından bahsedeceğim.

Ortam değişkenleri neden güvensiz

1. Ortam bir işlem tarafından dolaylı olarak kullanılabildiğinden, ortam değişkeninin içeriğinin erişim ve pozlama modu izlenemez (ps -eww)
2. Genellikle uygulamalar tüm ortamı yakalar ve hata ayıklama veya izleme amacıyla günlüğe kaydeder (bazen bir uygulama çöktükten sonra diskteki günlük dosyalarında düz metin olarak)
3. Çevre değişkenleri alt süreçlere aktarılır (bu nedenle en az ayrıcalık ilkesini ihlal eder)
4. Onları korumak bir sorundur: yeni mühendisler orada olduklarını bilmezler ve zorlanmadığı ya da belgelenmedikleri için etraflarındaki gereksinimlerin farkında değildirler (örneğin, alt süreçlere geçirmemek).

Doğrudan komut satırında bir komuta yazmak neden güvensizdir Çünkü sırrınız, o ps -auxanda çalışan her işlem için gönderilen komutları listelediği için çalışan başka bir kullanıcı tarafından görünür hale gelir . Ayrıca secrte'ınız daha sonra bash tarihinde sona erer (kabuk sona erdiğinde).

Yerel bir dosyaya dahil etmek neden güvensizdir Dosyadaki katı POSIX erişim kısıtlaması bu senaryodaki riski azaltabilir. Ancak, hala dosya sisteminizdeki, beklemede şifrelenmemiş bir dosyadır.

Ben bash aynı ihtiyacı vardı (Ubuntu 16.04 LTS) ve cevaplarda verilen komutlar benim durumumda çalışamadı. Kullanmak zorunda kaldım:

curl -X POST -F 'username="$USER"' -F 'password="$PASS"' "http://api.somesite.com/test/blah?something=123"

Bağımsız -Fdeğişkenlerdeki çift ​​tırnak işaretleri yalnızca değişken kullanıyorsanız gereklidir, bu nedenle komut satırından ... -F 'username=myuser' ...iyi olur.

İlgili Güvenlik Bildirimi: Bay Mark Ribau'nun yorumlarda belirttiği gibi, bu komut işlem listesinde parolayı ($ PASS değişkeni, genişletilmiş) gösterir!

Gnome anahtarlık uygulamasına sahip bir sistemdeyseniz, doğrudan şifreyi açığa çıkarmaktan kaçınan bir çözüm , anahtarlıktan şifreyi çıkarmak için gkeyring.py kullanmaktır :

server=server.example.com
file=path/to/my/file
user=my_user_name
pass=$(gkeyring.py -k login -tnetwork -p user=$user,server=$server -1)

curl -u $user:$pass ftps://$server/$file -O

Bu OP'nin istediğinden ÇOK daha fazla, ancak bu şifreleri güvenli bir şekilde geçirmek için en iyi sonuç olduğu için curl, bu çözümleri buraya arayanlar için buraya ekliyorum.

NOT: komut -siçin arg readPOSIX değildir ve bu nedenle her yerde kullanılamaz, bu nedenle aşağıda kullanılmayacaktır. Biz kullanacağız stty -echove stty echobunun yerine.

NOT: Aşağıdaki tüm bash değişkenleri bunun yerine bir işlev içindeyse ayar yerine yerel olarak bildirilebilir.

NOT: perloysa nedeniyle birçok şeyler için bir bağımlılık olmasının denedim tüm sistemlerde oldukça genel kullanıma rubyve pythonböylece kullanarak, değil perlburada. Bunu garanti ediyorsanız ruby/ pythonnerede yaptığınız varsa, perlkomutu eşdeğerleriyle değiştirebilirsiniz.

NOT: bashmacOS 10.14.4'te 3.2.57'de test edilmiştir . Diğer mermiler / kurulumlar için bazı küçük çeviriler gerekebilir.

Bir kullanıcıdan güvenli bir şekilde (yeniden kullanılabilir) bir parolanın kıvrılmasına geçmesini isteyin. Kıvrımı birden çok kez çağırmanız gerektiğinde özellikle kullanışlıdır.

echoDahili mermiler için modern mermiler için (üzerinden kontrol edin which echo):

url='https://example.com'
printf "Username: "
read username
printf "Password: "
stty -echo  # disables echoing user input, POSIX equivalent for 'read -s'
read pass
printf "\n" # we need to move the line ahead
stty echo   # re-enable echoing user input
echo ${pass} | sed -e "s/^/-u ${username}:/" | curl --url "${url}" -K-
unset username
unset pass

Daha eski mermiler için, nerede echoolduğu gibi /bin/echo(işlem listesinde yankı ne olursa olsun):
BU SÜRÜM ŞİFREYİ TEKRAR KULLANAMAZ , bunun yerine aşağıya bakın.

url='https://example.com'
printf "Username: "
read username
printf "Password: "
stty -echo  # disables echoing user input, POSIX equivalent for 'read -s'
perl -e '
    my $val=<STDIN>;
    chomp $val;
    print STDERR "\n";  # we need to move the line ahead, but not send a newline down the pipe
    print $val;
' | sed -e "s/^/-u ${username}:/" | curl --url "${url}" -K-
stty echo   # re-enable echoing user input
unset username

Parolayı geçici olarak bir dosyaya depolamanız gerekiyorsa, temizlemeden önce birden çok komut için yeniden kullanmak için (kodu yeniden kullanmak için işlevleri kullandığınız ve kodu tekrarlamak istemediğiniz için değeri yankı yoluyla iletin). (Evet, bu formda farklı kütüphanelerdeki işlevler olmamak için biraz kıvrımlı; Onları göstermek için gereken minimum koda indirgeme çalıştım.)

Yankı yerleşik olduğunda (bu özellikle anlaşılır, çünkü yankı yerleşiktir, ancak bütünlük için sağlanmıştır):

url='https://example.com'
filepath="$(mktemp)"  # random path, only readable by current user
printf "Username: "
read username
printf "Password: "
stty -echo  # disables echoing user input, POSIX equivalent for 'read -s'
read pass
echo "${pass}" > "${filepath}"
unset pass
printf "\n" # we need to move the line ahead
stty echo   # re-enable echoing user input

cat "${filepath}" | sed -e "s/^/-u ${username}:/" | curl --url "${url}" -K-

rm "${filepath}"  # don't forget to delete the file when done!!
unset username

Eko şöyle bir şey olduğunda /bin/echo:

url='https://example.com'
filepath="$(mktemp)"  # random path, only readable by current user
printf "Username: "
read username
printf "Password: "
stty -echo  # disables echoing user input, POSIX equivalent for 'read -s'
$(perl -e '
    my $val=<STDIN>;
    chomp $val;
    open(my $fh, ">", $ARGV[0]) or die "Could not open file \"$ARGV[0]\" $\!";
    print $fh $val;
    close $fh;
' "$filepath")
printf "\n" # we need to move the line ahead
stty echo   # re-enable echoing user input

cat "${filepath}" | sed -e "s/^/-u ${username}:/" | curl --url "${url}" -K-

rm "${filepath}"  # don't forget to delete the file when done!!
unset username