HTTP-Anfrage prüfen: curl, Rohnachricht und HAR-Datei

Die drei Werkzeuge lesen, übersetzen und teilen einen HTTP-Austausch. Sie führen ihn nicht aus.

Jedes Werkzeug endet dort, wo ein anderes beginnt. Geben Sie an die Nachbarwerkzeuge oder an Ihren eigenen Code ab.

Fügen Sie das Copy as cURL in den cURL-Formatter ein und lesen Sie es Zeile für Zeile: Es enthält alles, was der Browser hinzugefügt hat, nicht nur das, was Ihr Code braucht.

Fügen Sie die Antwort in den HTTP-Message-Parser ein. Statuszeile, Header-Tabelle und Body erscheinen getrennt.

Öffnen Sie den Export im HAR-Inspector und grenzen Sie die Liste ein, bevor Sie ein Detail lesen.

Ein Copy as cURL aus einer authentifizierten Sitzung enthält Ihre Header Cookie und Authorization, und jeder, der das Ticket liest, kann den Aufruf als Sie wiederholen. Der Schalter Geheimnisse entfernen lässt Cookie, Authorization, Referer, sec-ch-* sowie die Werte von -u und -b aus der Kopie weg. Im Formatter und beim Als-cURL-Kopieren des Parsers ist er standardmäßig aus, im HAR-Inspector an. Er wirkt nur auf Header: Ein Token im Query-String (?access_token=), im Request-Body, in einem eigenen Header wie X-Api-Key oder in einem Antwort-Body bleibt genau dort, wo es war. Lesen Sie die Ausgabe, bevor Sie sie einfügen, und tauschen Sie alles aus, was Ihren Rechner schon verlassen hat. Der Secrets-Scanner hilft, einen übersehenen Schlüssel zu finden.

Die Ladezeit des HAR-Inspectors ist die Dauer des längsten einzelnen Eintrags, nicht die Ladezeit der Seite, und Größe addiert die in jedem Eintrag erfassten Body-Größen. Sie beantworten „welcher Aufruf war am langsamsten“ und „wie viele Daten flossen“, nicht das, was Lighthouse misst. Requests laufen parallel, die Summe der Zeiten ist deshalb auch nicht die Seitenzeit. Gecachte Antworten und komprimierte Bodys lassen die Größenangaben von denen in der Fußzeile des Network-Panels abweichen.

Der Formatter versteht die von den DevTools erzeugte Teilmenge von cURL und ignoriert den Rest stillschweigend. Optionen wie -L, -s, -k, --insecure, -v und -o fallen aus der Ausgabe heraus: Ein Befehl, der sich auf -L zum Folgen einer Weiterleitung oder auf -k zum Überspringen der Zertifikatsprüfung verließ, verliert dieses Verhalten bei der Übersetzung. Manche Eingaben werden mit klarer Meldung abgelehnt: Multipart-Uploads (-F), -T-Datei-Uploads, @Datei-Bodys, {{Variablen}} von REST Client, .http-Dateien mit mehreren Anfragen, axios-Snippets sowie fetch-Aufrufe mit Template-Literalen oder ungebundenen Variablen. Eine eingefügte Antwort ist keine Anfrage, daraus lässt sich kein cURL machen.

Mehrere Ausgaben rücken einen JSON-Body neu ein: das mehrzeilige cURL, die Ausgaben HTTP/1.1 und .http, JavaScript fetch und Python requests, das ihn in ein json=-Literal umwandelt. Das einzeilige cURL behält den Body so, wie Sie ihn eingefügt haben. Für die meisten APIs ist das harmlos, fatal aber, wenn der Server eine Signatur über genau diese Bytes prüft, wie es Webhook-Endpunkte oft tun: Ein einziges zusätzliches Leerzeichen, und der HMAC passt nicht mehr. Der Leitfaden zu Hash und HMAC erklärt, wie solche Signaturen entstehen.

Eine HTTP/1.1-Nachricht ist Klartext (RFC 9112), ihre Bedeutung legt RFC 9110 fest. Anfrage und Antwort teilen sich das Layout.

Die Werkzeuge wandeln zwischen diesen Formen um, deshalb kann eine kopierte Anfrage jede davon werden.

Eine kurze Leseordnung erspart die meisten langen Debug-Sitzungen.

Der cURL-Formatter formatiert beim Einfügen neu, ohne Senden-Schaltfläche. In Chrome klicken Sie im Network-Tab mit der rechten Maustaste auf die Anfrage, dann Copy, dann Copy as cURL (bash).

Der HTTP-Message-Parser stellt eine eingefügte Nachricht als Startzeile, Header-Tabelle und Body dar.

Der HAR-Inspector liest die Datei in Ihrem Tab und ruft die aufgeführten URLs nie ab.

Ein paar Grenzen, die Sie kennen sollten, bevor Sie sich darauf verlassen.

Wenn Sie einen Befehl ausführen können, zeigt curl dieselben Daten, die der Parser aufbereitet. Halten Sie Tokens in Umgebungsvariablen, nicht in dem Befehl, den Sie in ein Ticket einfügen.

Ein HAR ist JSON, wenige Zeilen listen die fehlgeschlagenen Aufrufe. Anders als der Fehler-Zähler des Inspectors behält dieser Filter auch Status 0.

Nehmen Sie die Ausgabe von Copy as fetch, verlegen Sie das Secret in eine Umgebungsvariable und geben Sie aus, was zurückkommt. Die vom Formatter erzeugten Snippets sind ein Ausgangspunkt derselben Art.

Nichts zu installieren und nichts gesendet: Der cURL-Formatter, der HTTP-Message-Parser und der HAR-Inspector decken Lesen, Übersetzen und Teilen einer Anfrage ab. Die Kompromisse: keine Wiederholung, eine Teilmenge von cURL, kein Zeit-Wasserfall und eine Bereinigung, die nur Header kennt. Für einen echten Test führen Sie den Aufruf im Terminal, in Postman oder in Ihrer eigenen Testsuite aus; um eine Spezifikation statt eines Aufrufs zu prüfen, nutzen Sie den OpenAPI-Validator.