Postmanでセッション管理を極める：CSRFトークンとCookieを「完全自動化」する現場の技術
こんにちは。API開発の現場で「手動でトークンをコピー＆ペーストして、セッションが切れるたびにログインし直す」……そんな消耗戦に疲れていませんか？
今日は、Postmanをただの「API叩きツール」から「全自動テストマシン」に進化させる、プロのエンジニアが現場で必ず使う「セッション自動抽出・保存テクニック」を伝授します。これを覚えれば、あなたの開発効率は劇的に跳ね上がります。
—
1. なぜ「手動運用」が地獄への入り口なのか
多くの初心者エンジニアが陥る罠は、ログイン後のセッションIDや、HTMLフォームに含まれるCSRFトークンを手動で取得し、環境変数にコピペする作業です。
- 脆弱性: セッションはすぐ切れる。
- 効率: テストのたびにログイン作業が発生し、時間が溶ける。
- 再現性: チームメンバー間で手順を共有できず、属人化する。
Postmanの「Scripts」機能（Pre-request ScriptとTests）を使えば、これらはすべて「自動化」可能です。
—
2. 基礎のセットアップ：環境変数（Environment）の準備
まずは、データを保存する「器」を作りましょう。
1. 右上の歯車アイコン（Environments）から `Add` をクリック。
2. `SESSION_TOKEN` や `CSRF_TOKEN` という変数を空の状態で作成します。
3. 右上のドロップダウンで、今作成した環境を選択してください。これで準備完了です。
—
3. 実践：CSRFトークンとCookieの自動抽出ワークフロー
ログインリクエスト（`POST /login`）を送った際、サーバーから返されるCSRFトークン（HTML内のhidden input）とセッションCookieを自動保存するスクリプトを組み込みます。
ステップ1：Testsタブに抽出ロジックを書く
ログインAPIの「Tests」タブに以下のコードを貼り付けてください。
// 1. レスポンスからCSRFトークンを正規表現で抽出
// 例:
const responseBody = pm.response.text();
const match = responseBody.match(/name=”csrf_token” value=”([^”]+)”/);
if (match && match[1]) {
pm.environment.set(“CSRF_TOKEN”, match[1]);
console.log(“CSRFトークンを更新しました: ” + match[1]);
}
// 2. Cookieの自動保存
// PostmanはCookie Jarに自動保存しますが、明示的に変数に入れたい場合
const cookieJar = pm.cookies.jar();
cookieJar.get(pm.request.url, “session_id”, function (error, value) {
if (value) {
pm.environment.set(“SESSION_ID”, value);
}
});
ステップ2：次のリクエストで変数を呼び出す
次のリクエスト（例: `POST /update-profile`）のBodyやHeadersで、以下のように記述するだけです。
- Headers: `X-CSRF-TOKEN: {{CSRF_TOKEN}}`
- Cookies: （Postmanが自動でCookie Jarから注入してくれます）
これだけで、どんなに複雑なセッション管理でも、Postmanは「ログインした状態」を完璧に維持し続けます。
—
4. 精度を高める「HelloWorld」的動作確認
まずは、以下の手順で「自動化の成功」を体感してください。
1. ログインリクエストを送る: Sendボタンを押し、Testsタブのコンソール（左下のConsoleボタン）を開いてください。抽出されたトークンが表示されていれば成功です。
2. 変数の確認: 右上の目玉アイコン（Environment Quick Look）を見て、変数が書き換わっているか確認します。
3. 後続リクエスト: 次のリクエストで `{{CSRF_TOKEN}}` を使い、403 Forbidden（CSRFエラー）が出ないことを確認しましょう。
—
5. プロの視点：なぜこれが最強なのか
このテクニックの真髄は、「APIの仕様変更に強い」ことにあります。
もしサーバー側のトークン名が変わっても、Postmanの正規表現を一行書き換えるだけ。APIテストのシナリオ全体を修正する必要はありません。さらに、`Collection Runner` を使えば、このログインから始まる一連のフローを無人状態で何百回と繰り返すことも可能です。
先輩エンジニアからのアドバイス
「動けばいい」コードを書くのは簡単です。しかし、「誰が使っても、何度実行しても同じ結果が出る」仕組みを作ることこそが、本当のエンジニアリングです。
まずは今日のログイン処理から自動化してみてください。一度この「自動追従」の快適さを知ってしまえば、もう二度と手動でコピペする日々には戻れませんよ。
—
さあ、あなたのPostmanを「最強のテスト自動化ツール」に変身させましょう。何か詰まったら、いつでも聞いてくださいね！