Trình tự các hành động khi xác thực cookie đến trang web Drupal

Có một trang web drupal 9 có điểm cuối REST có thể được truy cập đối với người dùng đã đăng nhập (không dành cho người ẩn danh).

Và, cần thực hiện yêu cầu GET tới điểm cuối bằng cách sử dụng xác thực cookie.

Bạn có thể làm rõ, thuật toán chính xác của yêu cầu này là gì không?

Tôi đã cố gắng làm điều đó theo hai cách.

Cách #1.

Gửi yêu cầu POST cho người dùng/đăng nhập bằng thông tin đăng nhập và nhận mã thông báo CSRF, sau đó sử dụng mã thông báo trong tiêu đề của yêu cầu GET cho điểm cuối của tôi. Không kết quả.

Cách #2.

Gửi yêu cầu POST cho người dùng/đăng nhập bằng thông tin đăng nhập, sau đó gửi yêu cầu GET tới phiên/mã thông báo và nhận mã thông báo từ đó. Sau đó, sử dụng mã thông báo này từ phiên/mã thông báo trong yêu cầu GET của tôi.

Ngoài ra, không có kết quả.

Trong cả hai trường hợp, nó trả về lỗi 401 (từ Mất ngủ) hoặc lỗi 403 (từ JavaScript bên ngoài).

Tiêu đề của tôi để NHẬN yêu cầu là

  tiêu đề: {
    'Loại nội dung': 'application/json',
    'X-CSRF-Token': mã thông báo
  }

Xác thực cookie được kiểm tra cho điểm cuối REST của tôi trong REST UI.

Tôi đang làm gì sai?

Khi điểm cuối của bạn yêu cầu xác thực cookie, bạn nên chuyển cookie bạn nhận được từ bài đăng đăng nhập của mình với các yêu cầu GET sau đây.

CSRF không liên quan gì đến auth, nó chỉ là một biện pháp phòng thủ tấn công CSRF.

Bạn cần tham khảo cookie được lưu trữ. Đây là một ví dụ sử dụng curl:

curl --header "Content-type: application/json" --request POST -s -c cookie.txt --data-binary '{ "name": "username", "pass": "password" }' https: //example.com/user/login

Từ đó, bạn sẽ nhận được cookie của mình trong cookie.txt và mã thông báo của bạn trong phản hồi json.

Sau đó, bạn có thể thực hiện yêu cầu nhận như thế này (nhận yêu cầu không cần mã thông báo CSRF):

curl -s -X GET -b cookie.txt --header 'Content-type: application/json' ...

và một yêu cầu bài viết như thế này:

curl -s -X POST -b cookie.txt --header 'Content-type: application/json' --header "X-CSRF-Token: $token"