使用RestSharp调用FortiGate API POST请求返回403 Forbidden问题排查

我之前碰到过一模一样的情况！Fortinet的POST API对CSRF验证的要求很严格，而cURL和.NET请求的核心差异在于Cookie会话的自动管理——cURL默认会帮你保存并复用Cookie，但.NET的请求默认是无状态的，每个请求都是独立的，这就是为什么GET正常（不需要CSRF令牌）、cURL的POST正常，但你的C# POST会403。

核心原因 #

Fortinet API的POST请求要求同时携带两个验证信息：

• X-CSRFTOKEN请求头：从初始GET请求的响应头中获取
• 会话Cookie：从初始GET请求的Set-Cookie响应头中获取，且后续POST请求必须复用这个Cookie

解决方案步骤 #

你需要先发送一个**预请求（GET）**来获取CSRF令牌和Cookie，然后在POST请求中同时带上这两个信息。下面是两种适用于Web Forms的C#实现方式：

方式1：使用HttpClient（推荐，代码更简洁）

using System;
using System.Net;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Threading.Tasks;

public async Task<bool> BlockIpViaFortinetApi(string ipToBlock)
{
    // 初始化Cookie容器，用于保存会话Cookie
    var cookieContainer = new CookieContainer();
    using var handler = new HttpClientHandler { CookieContainer = cookieContainer };
    using var client = new HttpClient(handler);

    // 1. 发送GET请求获取CSRF令牌和Cookie
    var baseUrl = "https://your-fortinet-api-url";
    var getResponse = await client.GetAsync($"{baseUrl}/api/v2/cmdb/firewall/address"); // 替换为你有权限的GET接口
    getResponse.EnsureSuccessStatusCode(); // 确保GET请求成功

    // 提取CSRF令牌
    string csrfToken = null;
    if (getResponse.Headers.TryGetValues("X-CSRFTOKEN", out var values))
    {
        csrfToken = values.FirstOrDefault();
    }

    if (string.IsNullOrEmpty(csrfToken))
    {
        throw new Exception("Failed to retrieve CSRF token from GET response");
    }

    // 2. 构造POST请求，带上CSRF令牌和自动复用的Cookie
    var postData = new StringContent(
        $"{{\"name\":\"Blocked_{ipToBlock}\",\"subnet\":\"{ipToBlock}/32\",\"type\":\"ipmask\"}}", // 替换为你的API请求体
        System.Text.Encoding.UTF8,
        "application/json"
    );

    // 添加CSRF令牌头
    client.DefaultRequestHeaders.Add("X-CSRFTOKEN", csrfToken);

    var postResponse = await client.PostAsync($"{baseUrl}/api/v2/cmdb/firewall/address", postData);
    
    // 检查POST响应状态
    if (postResponse.IsSuccessStatusCode)
    {
        return true;
    }
    else
    {
        var errorContent = await postResponse.Content.ReadAsStringAsync();
        throw new Exception($"POST request failed: {postResponse.StatusCode} - {errorContent}");
    }
}

方式2：使用HttpWebRequest（兼容旧版Web Forms）

using System;
using System.IO;
using System.Net;

public bool BlockIpViaFortinetApi(string ipToBlock)
{
    var baseUrl = "https://your-fortinet-api-url";
    var cookieContainer = new CookieContainer();

    // 1. 发送GET请求获取CSRF令牌和Cookie
    HttpWebRequest getRequest = (HttpWebRequest)WebRequest.Create($"{baseUrl}/api/v2/cmdb/firewall/address");
    getRequest.CookieContainer = cookieContainer;
    getRequest.Method = "GET";
    getRequest.Headers.Add("Authorization", "Bearer your-api-token"); // 替换为你的身份验证头（如果用API密钥）

    string csrfToken = null;
    using (HttpWebResponse getResponse = (HttpWebResponse)getRequest.GetResponse())
    {
        // 提取CSRF令牌
        if (getResponse.Headers["X-CSRFTOKEN"] != null)
        {
            csrfToken = getResponse.Headers["X-CSRFTOKEN"];
        }
    }

    if (string.IsNullOrEmpty(csrfToken))
    {
        throw new Exception("Failed to retrieve CSRF token");
    }

    // 2. 构造POST请求
    HttpWebRequest postRequest = (HttpWebRequest)WebRequest.Create($"{baseUrl}/api/v2/cmdb/firewall/address");
    postRequest.CookieContainer = cookieContainer; // 复用之前的Cookie容器
    postRequest.Method = "POST";
    postRequest.ContentType = "application/json";
    postRequest.Headers.Add("X-CSRFTOKEN", csrfToken);
    postRequest.Headers.Add("Authorization", "Bearer your-api-token"); // 同样添加身份验证头

    // 写入请求体
    string postBody = $"{{\"name\":\"Blocked_{ipToBlock}\",\"subnet\":\"{ipToBlock}/32\",\"type\":\"ipmask\"}}";
    using (StreamWriter writer = new StreamWriter(postRequest.GetRequestStream()))
    {
        writer.Write(postBody);
    }

    // 发送POST请求并检查响应
    using (HttpWebResponse postResponse = (HttpWebResponse)postRequest.GetResponse())
    {
        return postResponse.StatusCode == HttpStatusCode.OK || postResponse.StatusCode == HttpStatusCode.Created;
    }
}

关键注意事项 #

• 身份验证一致性：确保GET和POST请求使用相同的身份验证方式（比如API密钥、Basic Auth等），不能GET用一种，POST用另一种。
• TLS版本：Fortinet API通常要求TLS 1.2或更高版本，你可以在代码中添加ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;来强制启用。
• 请求体格式：根据Fortinet API文档确认Content-Type（比如application/json或application/x-www-form-urlencoded），请求体格式必须匹配。
• Cookie复用：必须确保POST请求使用和GET请求相同的CookieContainer，否则会话会失效，导致403。

内容的提问来源于stack exchange，提问作者Amélie F.