使用Indy TIdHTTP组件登录网站失效问题求助

针对网站改版后新增CSRF meta标签导致的POST登录失败问题，可按以下步骤排查：

• 确保Cookie会话一致性
  TIdHTTP的CookieManager会自动保存GET请求获取的Cookie，但要确认在GET登录页面后，POST请求复用同一个Cookie会话。检查CookieManager中的Cookie，确保包含网站的session标识（如_session_id），不要在GET和POST之间清空或替换Cookie。

• 准确提取并提交CSRF Token

  • 从页面的<meta name="csrf-token" content="..." />标签中提取完整的Token字符串，避免手动截取时遗漏字符。推荐用HTML解析组件或正则表达式提取：

    // 示例正则提取（需引入RegularExpressions单元）
    var
      Match: TMatch;
    begin
      Match := TRegEx.Match(HTMLContent, '<meta name="csrf-token" content="([^"]+)"');
      if Match.Success then
        CSRFToken := Match.Groups[1].Value;
    end;
    

  • POST提交时，参数名必须与<meta name="csrf-param" content="authenticity_token" />指定的一致，即参数名为authenticity_token，值为提取到的完整CSRF Token。

• 匹配请求头与编码设置

  • 模拟浏览器的User-Agent和Referer头：

    IdHTTP1.Request.UserAgent := 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.0 Safari/537.36 Edg/118.0.2088.69';
    IdHTTP1.Request.Referer := 'https://目标网站登录页面的完整URL';
    

  • 确保请求编码与网站一致，设置IdHTTP1.Request.ContentEncoding := 'utf-8'，同时将提交参数的TStringList编码设为UTF-8：

    PostParams.DefaultEncoding := TEncoding.UTF8;
    

  • 确认POST请求的Content-Type为application/x-www-form-urlencoded，TIdHTTP使用TStringList调用Post时会自动设置，不要手动修改为其他类型。

• 完整提交所有POST参数
  对照Edge开发者工具Network面板中真实登录请求的Form Data，将所有参数（包括隐藏字段如utf8=✓等）全部添加到TStringList中，参数名和值严格与浏览器提交的一致，注意大小写和格式。

• 捕获服务器错误详情
  通过异常捕获获取服务器返回的具体错误信息，定位问题根源：

  try
    IdHTTP1.Post(LoginPostURL, PostParams);
  except
    on E: EIdHTTPProtocolException do
      ShowMessage('错误码：' + IntToStr(E.ErrorCode) + #13#10 + '错误信息：' + E.ErrorMessage + #13#10 + '响应内容：' + IdHTTP1.Response.Text);
  end;
  

内容的提问来源于stack exchange，提问作者Tomas Trhlik