定制脚本

• 身份验证脚本 - 动态计算、生成和附加所需的安全凭据或令牌：
  • 基本
    • 基本 HTTP 身份验证 - 将用户名和密码编码为 Base64 字符串并将其注入请求标头。
  • 凭证
    • 添加凭据 - 在 POST 请求的正文中包含格式化为 JSON 对象的用户名和密码。
    • 注入标头 - 手动将 "Authorization" 字段插入 HTTP 请求中。
    • 解析响应 - 检查服务器的响应正文以提取授权令牌。
• 加密 - 对请求有效负载或标头应用加密或哈希算法。
  • HMAC
    • HMACSHA512 - 使用 SHA-512 生成密钥哈希消息认证码。
  • SHA
    • SHA256_RSA - 通过使用 SHA-256 对数据进行哈希处理并使用 RSA 私钥对其进行加密来创建数字签名。
    • SHA512 - 生成高度安全的 512 位固定长度加密哈希。
    • SHA256 - 生成标准的 256 位哈希。

1. 在配置设置中的高级部分下，选择定制脚本。
2. 单击 + 添加按钮。
3. 如有需要，可修改预填的名称字段。
4. 为脚本选择适当的执行上下文：：
   1. 请求前脚本：在发送请求前运行脚本。
   2. 响应后：在收到响应后运行脚本。
   3. 参数：用于包含多个步骤或填写表单的任务。您可以将此上下文与 setResultValue 方法结合使用，以便脚本将结果返回给 AppScan。
5. 在 JavaScript 字段（代码编辑器）中输入JavaScript，并使用 Ctrl+空格键在 AppScan 环境中自动完成建议。
6. 单击添加以保存您的脚本。该脚本将添加到列表中并缺省启用。
7. 您可以使用启用复选框，从定制脚本列表中选择启用或禁用脚本。
8. 使用启用复选框，或通过在脚本列表中编辑、删除脚本或重新排序脚本来管理脚本。
9. 单击开始全面扫描运行扫描。
10. 结果：将针对每个请求或响应执行启用的脚本。您可以从数据 > 请求选项卡 > 请求/响应查看脚本的详细信息。

    请验证脚本的语法是否正确，并确认其与 AppScan 支持的 JavaScript 版本兼容。如需详细指导，请参阅 JavaScript 代码。

    注：

    • 定制脚本保存在扫描配置文件中，可使用模板导出。它们不包括在扫描结果中。
    • 缺省情况下，在模板中导出定制脚本时，将对其进行加密。

// 从存储的全局变量中附加 Authorization
var token = environment.globalVariables.get("Authorization");
if (token) request.headers.set("Authorization", token);

// 从 JSON 响应中捕获令牌并存储以供重用
try {
		var result = JSON.parse(response.body);
		if (result && result.Authorization) {
			environment.globalVariables.addOrUpdate("Authorization", result.Authorization);
		}
} catch(e) { log(e); }

• 此上下文中没有可用的数据对象（请求或响应）；使用它们将返回 null。
• 通过 setResultValue(value) 返回值。

// 示例：为注册流程返回唯一的电子邮件
function random(n) { return Math.random().toString(36).slice(2, 2+n); }
var email = "test_" + Date.now() + "_" + random(6) + "@example.test";
setResultValue(email);

// 示例：
// 处理标头
request.headers.set("Authorization", "Bearer");
request.headers.add("X-Trace", "abc");

// 操作正文
request.body = JSON.stringify( { user:"admin" });
if(request.body.includes("admin") { ... }

// 读取路径
if (request.path.startsWith("/api/v1")) { ... }

// 编辑查询
request.query.addOrUpdate("lang","en")
request.query.remove("debug")
request.query.getQueryString()

// 读取方法
if (request.method == "GET") { ... }

1. 全局变量：全局变量数据是一种键-值数据结构，旨在存储用户特定的数据对。键是唯一的（意味着没有两个元素可以具有相同的键，尽管多个元素可以共享相同的值），这对于在运行中的脚本之间共享数据非常有用。
2. 扫描状态：包含当前扫描的相关信息。

   // 检查扫描状态
   environment.status.isInExplore();
   environment.status.isInTest();

• 受限函数：eval、Function（构造函数）、setTimeout、setlnterval。如果使用了其中任何一个函数，脚本将失败。
• 限制：最大执行时间：5 秒；内存限制：64 MB。超过这些限制会导致脚本失败。

  失败时扫描将暂停，详细信息将记录在 UserScript.log 中。

• ES6：生成器、尾调用
• ES8：共享内存和原子操作
• ES15：Atomics.waitAsync、正则表达式标志 \v

1. 脚本失败：请查看日志文件夹（默认：[UserDataFolder]\AppData\Roaming\HCL\AppScan Standard\logs）以获取有关错误的详细信息。如果遇到未经处理的异常，请将代码封装在 try...catch 块中，以便正常处理。
2. 脚本未执行：确保已在配置设置中启用脚本。

   如果问题与登录/授权相关，请考虑从配置 → 高级配置 → 安全包顺序中移除协商值，以防止 AppScan 自动处理这些身份验证。