调用Harbor /c/oidc/onboard API接入OIDC用户返回CSRF错误

你调用的/c/oidc/onboard是面向浏览器前端页面设计的交互接口，和你之前调通的其他后端API走的不是同一套校验逻辑：

• 常规后端API默认只校验认证凭证，你用管理员Basic Auth就能直接通过认证
• 所有/c/前缀的UI侧接口默认强制开启CSRF防护，这类接口要求请求必须携带合法的CSRF令牌，仅靠Basic Auth无法通过这层校验，这就是其他API正常、唯独这个接口报CSRF错误的核心原因。

二选一即可，优先推荐方案2：

• 方案1：补全CSRF校验要求的请求参数
  先用管理员凭证调用登录接口拿到有效会话Cookie，从登录接口返回的响应头Cookie或者登录后首页的响应内容里提取CSRF Token，调用/c/oidc/onboard时除了Basic Auth认证信息，额外在请求头里加X-CSRF-Token: <提取到的CSRF令牌值>，同时保持请求携带之前拿到的会话Cookie，就能通过CSRF校验。注意CSRF Token和会话是绑定的，会话过期后需要重新获取。
• 方案2：替换为服务端专用的OIDC接入接口
  不要复用前端页面用的同源接口，找系统暴露的服务端专用OIDC用户接入接口（这类接口路径一般带/api/前缀，不会归在/c/路径下）。这类接口默认不开启CSRF校验，只需要校验管理员身份凭证，完全适配自动化API调用场景，不需要额外维护Cookie、CSRF令牌的生命周期，长期运行稳定性更高。

• 不要为了临时调通接口直接全局关闭服务端CSRF防护，会导致所有前端交互接口暴露在跨站请求伪造攻击风险下，违反基础安全规范。
• 如果选方案1，不要把提取到的CSRF Token硬编码在业务代码里，令牌会随会话过期失效，硬编码会导致流程运行一段时间后再次报错。

内容的提问来源于stack exchange，提问作者Ashish