如何在单个 cURL 请求中获取和发布信息？

Question

是否可以在同一个cURL 请求中获取input 的value 和post 信息？

原因： 我正在尝试使用 cURL 登录 here，但是，登录表单会在名为 form_key 的 input 的 value 中生成一个唯一密钥。所以，我想先获取该值，然后发布用户名和密码以成功登录。

PHP（不工作，给出一个空白页面，源代码中没有任何内容）：

$ch2 = curl_init();
curl_setopt($ch2, CURLOPT_URL, "https://b2b.chiemsee.com/customer/account/login/");
curl_setopt($ch2, CURLOPT_FOLLOWLOCATION, true); // to allow redirections
//curl_setopt($ch2, CURLOPT_SSL_VERIFYPEER, FALSE); // to avoid error
curl_setopt($ch2, CURLOPT_POST, true); // to send info
curl_setopt($ch2, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch2, CURLOPT_COOKIEJAR, 'cookie.txt'); // to save cookie data for login
curl_setopt($ch2, CURLOPT_RETURNTRANSFER, true); // to get the html
$response2 = curl_exec($ch2);
curl_close($ch2);

$html = new simple_html_dom();
$html->load($response2);

$val = $html->find('input[name=form_key]');
$form_key = $val[0]->value;

$data = array(
    'form_key' => $form_key,
    'login[username]' => 'myusername',
    'login[password]' => 'mypassword',
    'send' => '',
);

附： 当我手动登录并检查浏览器控制台 -> 网络 -> 帖子 -> 标题/参数时，我得到以下信息：-

form_key: viiRqZigH0YPC9wu
login[username]: myusername
login[password]: mypassword
send: 

更新。 两个单独的 cURL 请求（现在仍在工作）：

include('simple_html_dom.php');

$ch2 = curl_init();
curl_setopt($ch2, CURLOPT_URL, "https://b2b.chiemsee.com/customer/account/login/");
curl_setopt($ch2, CURLOPT_FOLLOWLOCATION, true); // to allow redirections
curl_setopt($ch2, CURLOPT_COOKIEJAR, 'cookie.txt'); // to save cookie data for login
curl_setopt($ch2, CURLOPT_RETURNTRANSFER, true); // to get the html
$response2 = curl_exec($ch2);
curl_close($ch2);

$html = new simple_html_dom();
$html->load($response2);

$val = $html->find('input[name=form_key]');
$form_key = $val[0]->value;

$data = array(
    'form_key' => $form_key,
    'login[username]' => 'myusername',
    'login[password]' => 'mypassword',
    'send' => 'Anmelden'
);

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://b2b.chiemsee.com/customer/account/login/");
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true); // to allow redirections
//curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE); // to avoid error
curl_setopt($ch, CURLOPT_POST, true); // to send info
curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch, CURLOPT_COOKIEFILE, 'cookie.txt'); // to read data
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // to get the html
$response = curl_exec($ch);
if (curl_error($ch)) {
    $error_msg = curl_error($ch);
    var_dump($error_msg);
    exit;
}
curl_close($ch);
echo $response;

Answer 1

你问的是不可能的。不是因为 cURL 或 PHP 的限制，而是因为因果关系。考虑正在执行的逻辑步骤集。为了发送登录请求，您必须首先知道form_key。要知道form_key，您必须先请求登录页面。

简单地说，你不能利用你还没有的信息。

• 发出第一个 HTTP 请求以获取表单信息。 （特别是您需要的 form_key 值。）
• 发出第二个 HTTP 请求以发送登录信息，包括您从第一个请求中获取的数据。

没有理由尝试一步完成。

Answer 2

所以对正在发生的事情进行了一些介绍。

form_key 似乎被用作 CSRF 保护的一种形式，特别是它是 synchronizer token。

简而言之，用户访问网页，网页为用户创建会话并生成唯一令牌。然后，服务器将该唯一令牌作为隐藏字段附加到表单。当用户提交该表单时，它会与该隐藏字段一起提交，并且服务器可以交叉引用收到的令牌与发送的令牌相同。

然而，关键部分是服务器需要知道用户是谁，这是通过会话完成的。会话通过会话 cookie 维护，这就是为什么需要会话 cookie。

要正确模拟真实用户，您需要存储服务器在首次访问时发送给您的 cookie，这是使用 CURLOPT_COOKIEJAR 完成的：

$ch2 = curl_init();
curl_setopt($ch2, CURLOPT_URL, "https://b2b.chiemsee.com/customer/account/login/");
curl_setopt($ch2, CURLOPT_FOLLOWLOCATION, true); // to allow redirections
//curl_setopt($ch2, CURLOPT_SSL_VERIFYPEER, FALSE); // to avoid error
curl_setopt($ch2, CURLOPT_POST, true); // to send info
curl_setopt($ch2, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch2, CURLOPT_COOKIEJAR, 'cookie.txt'); // to save session cookie
curl_setopt($ch2, CURLOPT_RETURNTRANSFER, true); // to get the html
$response2 = curl_exec($ch2);
curl_close($ch2);

完成此操作并通过抓取页面检索 CSRF 令牌后，您需要将其连同相应的 cookie 一起提交：

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://b2b.chiemsee.com/customer/account/loginPost/"); //Make sure you have the correct URL
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true); // to allow redirections
//curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE); // to avoid error
curl_setopt($ch, CURLOPT_POST, true); // to send info
curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch, CURLOPT_COOKIEFILE, 'cookie.txt'); // to read cookie data
curl_setopt($ch2, CURLOPT_COOKIEJAR, 'cookie.txt'); // optional, this will update existing cookies and add new ones if needed.
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); // to get the html
$response = curl_exec($ch);
if (curl_error($ch)) {
    $error_msg = curl_error($ch);
    var_dump($error_msg);
    exit;
}
curl_close($ch);
echo $response;

这应该允许服务器首先加载创建 CSRF 令牌的正确会话，然后验证您发送的令牌。

作为旁注：令牌的原因很简单。如果我制作的网页诱使用户直接发布到另一个网页，则此令牌是我永远无法访问的数据，因为它仅直接与用户共享，因此第 3 方无法访问它。它可能会使像您这样的自动化更难实现，但它对用户安全非常有效。