你也可以这样发送用户名:

curl -u USERNAME http://server.example

然后Curl将要求您输入密码，并且密码将不会在屏幕上显示(或者如果您需要复制/粘贴该命令)。

你也可以这样发送用户名:

curl -u USERNAME http://server.example

然后Curl将要求您输入密码，并且密码将不会在屏幕上显示(或者如果您需要复制/粘贴该命令)。

要在脚本中安全地传递密码(即防止它与ps auxf或logs一起出现)，您可以使用- k -标志(从stdin读取配置)和heredoc:

curl --url url -K- <<< "--user user:password"

更安全的做法是:

curl --netrc-file my-password-file http://example.com

.．.由于在命令行上传递普通的用户/密码字符串，这是一个坏主意。

密码文件的格式为(按照man curl):

machine <example.com> login <username> password <password>

注意:

机器名不能包含https://或类似!只有主机名。 “machine”、“login”和“password”只是关键词;真正的信息是那些关键字之后的东西。

在我的例子中，我需要一个提示符，用户可以输入他们的凭据。

获得用户名和密码提示的最简单方法是以下一行代码:

read -p "Username: " U ; curl -u "$U" <URL> ; unset U

read命令提示输入用户名。-u "$U"参数告诉curl尝试使用用户名$U进行身份验证，并提示输入密码。

作为奖励，密码将只对curl可见，不会在任何日志或历史记录中结束。

curl的手册页有更多关于不同身份验证模式的详细信息: https://curl.se/docs/manpage.html

我也喜欢用户“iammyr”采用的方法。它可以涵盖cURL的身份验证算法失败的情况: https://stackoverflow.com/a/56130884/1239715

简单地说，最安全的方法是使用环境变量来存储/检索凭据。因此，curl命令如下:

curl -Lk -XGET -u "${API_USER}:${API_HASH}" -b cookies.txt -c cookies.txt -- "http://api.somesite.com/test/blah?something=123"

然后调用您的restful api，并将API_USER和API_HASH的Base64编码值传递给http WWW_Authentication头。lk只是告诉curl遵循http 30x重定向并使用不安全的tls处理(即忽略ssl错误)。而double——只是bash语法中停止处理命令行标志的糖。此外，-b cookie .txt和-c cookie .txt标记处理cookie， -b发送cookie， -c本地存储cookie。

手册中有更多认证方法的示例。