Tên người dùng có phải là curl -u: mật khẩu http://example.com không?

Có curl -u username:password http://example.coman toàn không?

Nếu không, bạn có thể giải thích ngắn gọn về cách ai đó có thể lấy được mật khẩu của bạn không?

Nó không an toàn, vì cURL mặc định xác thực cơ bản nơi giao thức HTTP gửi mật khẩu của bạn dưới dạng văn bản rõ ràng. Khi bạn chỉ định username:passwordchuỗi, nó sẽ được chuyển đổi thành chuỗi BASE64 trong tiêu đề HTTP:

GET / HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Accept: text/html
Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

Bất cứ ai cũng có thể chặn lưu lượng HTTP của bạn (nhà cung cấp của bạn, bất kỳ ai truy cập cùng AP không dây như bạn, v.v.) sẽ có thể khôi phục mật khẩu chỉ bằng cách sử dụng trình chuyển đổi BASE64 trực tuyến .

Giao thức HTTPS sẽ làm cho mọi thứ tốt hơn bằng cách thiết lập kết nối được mã hóa trước khi tiêu đề này được gửi, ngăn mật khẩu không bị tiết lộ. Tuy nhiên, điều này chỉ áp dụng nếu người dùng chú ý khi được yêu cầu xác nhận các chứng chỉ không xác định, cho phép các ngoại lệ bảo mật, v.v.

Lưu ý rằng các đối số lệnh có thể có sẵn cho những người dùng khác trên cùng một máy để xem, ví dụ: ps -ef/ Proc filesystem, trong lịch sử bash của bạn và trong nhật ký thiết bị đầu cuối của bạn (cảm ơn vì nhận xét của @ Lambert lưu ý điều này). cURL trên một số nền tảng cố gắng ẩn mật khẩu, ví dụ như với ps -efbạn có thể thấy khoảng trống thay vì mật khẩu. Tuy nhiên, thay vì truyền mật khẩu làm đối số dòng lệnh, việc có cURL trực tiếp nhắc nhập mật khẩu sẽ tốt hơn, như đã thảo luận trên faq cURL .

Nó không an toàn. Các tham số dòng lệnh được hiển thị cho tất cả người dùng.

Điều này có thể được thực hiện theo cách an toàn hơn bằng cách sử dụng tham số tệp --netrc.

1. Tạo một tệp với 600 quyền

Ví dụ: vi / root / my-file

máy ví dụ.com

tên đăng nhập

mật khẩu PASSWORD

Lưu và đóng tập tin

2. Sử dụng bên dưới để truy cập URL với Tên người dùng và Mật khẩu.

curl --netrc-file / root / my-file http://example.com

3. Làm xong

Nó không an toàn khi sử dụng lược đồ HTTP. Để đảm bảo an toàn, bạn nên sử dụng HTTPS.

Để ẩn mật khẩu xuất hiện trong lịch sử lệnh, chỉ cung cấp tên người dùng. Curl sẽ nhắc nhập mật khẩu, nếu không được cung cấp trong lệnh.

Câu trả lời ngắn gọn là không ... nhưng ....

Nếu không có tùy chọn phía máy chủ, bạn có thể tăng cường bảo mật.

1. Nếu đây là mạng nội bộ cục bộ thì hãy cách ly miền phát sóng và không sử dụng WiFi hoặc bất kỳ radio nào.
2. Như Shameer nói, hãy sử dụng tệp .netrc, giữ các giá trị ngoài mã.
3. Nếu bạn tin rằng bộ nhớ là an toàn, hãy sử dụng bình môi trường. $ PSWD.
4. Nếu đây là tự động hóa, hãy chạy từ crontab của root.
5. ... Trong một container.
6. ... từ một VM với một đĩa được mã hóa.

Không có cái nào trong số này kém an toàn hơn trình duyệt sử dụng HTTP.