Windows下curl提交POST表单：如何避免明文密码存命令行或文件？

1. 命令提示符（cmd）实现方式 #

在cmd中，可通过set /p命令交互式读取密码（输入时不会明文显示），再传递给curl的POST参数：

@echo off
set /p USERNAME=请输入用户名: 
set /p PASSWORD=请输入密码: 
curl -X POST "https://目标网站登录地址" ^
  -d "username=%USERNAME%" ^
  -d "password=%PASSWORD%" ^
  -c cookies.txt
rem 用保存的Cookie下载目标文件
curl -b cookies.txt "https://目标文件下载地址" -o 保存的文件名.ext

说明：@echo off关闭命令回显，set /p会弹出输入提示，输入密码时cmd默认不会显示输入内容，避免密码在命令行明文留存。

2. PowerShell实现方式 #

PowerShell中可通过安全方式读取密码，仅在内存中转成明文传递给curl，避免留存到命令历史或文件：

$username = Read-Host "请输入用户名"
$securePassword = Read-Host "请输入密码" -AsSecureString
$password = [System.Net.NetworkCredential]::new("", $securePassword).Password

# 执行登录并保存Cookie
curl.exe -X POST "https://目标网站登录地址" `
  -d "username=$username" `
  -d "password=$password" `
  -c cookies.txt

# 使用Cookie下载文件
curl.exe -b cookies.txt "https://目标文件下载地址" -o 保存的文件名.ext

说明：Read-Host -AsSecureString会让密码以星号形式显示，且密码以安全字符串存储，转换为明文仅在内存中完成，关闭PowerShell后即销毁，安全性更高；建议使用curl.exe确保调用原生curl命令，避免和PowerShell内置的Invoke-WebRequest别名冲突。

关键注意点 #

• 替换命令中的https://目标网站登录地址、https://目标文件下载地址为实际网址，POST参数的字段名（如username、password）需和网站表单的实际字段名一致（可通过浏览器开发者工具查看表单提交参数）。
• -c cookies.txt用于保存登录后的身份Cookie，后续下载文件时通过-b cookies.txt携带Cookie完成身份验证。

内容的提问来源于stack exchange，提问作者user27676144