/cgi-bin/luci/;stok=/locale 是 OpenWrt LuCI（Web 管理界面）中一种常见的请求路径。它由以下几个部分组成：
| 组成部分 | 含义 |
|---|---|
| /cgi-bin/luci | LuCI 的入口 CGI 脚本。所有对 LuCI 的 HTTP 请求最终都会被该脚本接收并交由 Lua 代码进行路由、渲染等处理 |
| ;stok= | 登录后服务器在 Cookie 中返回的 session token（会话令牌）。LuCI 为防止 CSRF（跨站请求伪造）在 URL 中加入 ;stok=，后面跟随实际的 token 值（如 d5b2f26bea057631a936bc623259991b）。只有携带正确的 token，后端才会认为请求来源于已登录的会话 |
| /locale | LuCI 中负责 语言/地区（locale） 设置的控制器路径。访问该路径会返回当前会话的语言环境信息（如 en_US、zh_CN），常用于前端 AJAX 动态切换界面语言 |
工作流程简述
- 登录：用户在 LuCI 登录页面提交用户名/密码，验证成功后服务器在响应的
Set-Cookie中写入sysauth（会话 ID）以及stok（CSRF token）。 - 获取 token：前端 JavaScript 读取
stok（或从页面的全局变量stok）并在后续请求的 URL 中以;stok=形式拼接。 - 请求 locale：例如
GET https://192.168.1.1/cgi-bin/luci/;stok=abcd1234/locale。服务器校验 token 后，调用luci.controller.locale（位于modules/luci-base/htdocs/luci-static/resources/view/system/locale.js）返回 JSON：{ "lang": "zh_CN", "country": "CN" }。 - 渲染页面：前端根据返回的 locale 信息加载对应的语言包（
.po/.mo），实现多语言切换。
常见错误示例
- 缺少 token：直接访问
/cgi-bin/luci/;stok=/locale（即 token 为空）会被视为未授权请求，返回 403 或 “请求地址不存在” 的错误日志。 - 路径拼写错误：如果
;stok=后面写成stok=（缺少分号）或locale拼写错误，同样会导致 “No mapping for GET /cgi-bin/luci/;stok=/locale” 的 404 错误。
安全意义
- CSRF 防护：
stok必须随每一次敏感请求一起发送，防止恶意站点在用户已登录状态下发起未授权的配置修改。 - 会话隔离：不同登录会话拥有独立的
stok，即使同一 IP 的多个用户也不会相互干扰。
小结
- /cgi-bin/luci：LuCI 的统一入口。
- ;stok=TOKEN：登录后生成的会话令牌，用于验证请求合法性。
- /locale：获取或设置当前会话的语言/地区信息的 API。
了解这三个部分的作用后，就能正确使用或调试 LuCI 的 AJAX 接口，尤其在编写自定义插件或进行安全审计时尤为重要。
相关链接：
声明：文章均为AI生成，请谨慎辨别信息的真伪和可靠性！