自訂 Script

• 驗證指令碼 - 動態計算、產生並附加所需的安全憑證或權杖：
  • 基本
    • Basic HTTP 驗證 - 將使用者名稱和密碼編碼為 Base64 字串，並將其注入請求標頭。
  • 認證
    • 新增憑證 - 在 POST 請求的主體中包含格式化為 JSON 物件的使用者名稱和密碼。
    • 注入標頭 - 手動將 "Authorization" 欄位插入 HTTP 請求中。
    • 剖析回應 - 檢查伺服器的回應主體以擷取授權權杖。
• 密碼學 - 對請求承載或標頭套用加密或雜湊演算法。
  • HMAC
    • HMACSHA512 - 使用 SHA-512 產生金鑰雜湊訊息鑑別碼。
  • SHA
    • SHA256_RSA - 透過使用 SHA-256 對資料進行雜湊處理，並使用 RSA 私密金鑰進行加密，以建立數位簽章。
    • SHA512 - 產生高度安全的 512 位元固定長度密碼雜湊。
    • SHA256 - 產生標準的 256 位元雜湊。

1. 選擇配置設定的「進階」區段下的「自訂 Script」。
2. 按一下 + 新增按鈕。
3. 視需要，編輯預先填入的「名稱」欄位。
4. 為您的指令碼選擇適當的 Execution context：
   1. 「要求前」適用於在傳送要求前執行的 Script。
   2. 「回應後」適用於在接收回應後執行的 Script。
   3. 「參數」適用於需要多步驟或填寫表單的作業。您可以將此環境定義與 setResultValue 方法搭配使用，讓指令碼將結果傳回AppScan。
5. 在 JavaScript 欄位（程式碼編輯器）輸入 JavaScript，並在 AppScan 環境中使用 Ctrl+Space 以取得自動完成的建議。
6. 按一下新增以儲存 Script。Script 會新增至清單且預設為啟用。
7. 您可利用啟用勾選框，從自訂 Script 清單選擇啟用或停用 Script。
8. 使用「啟用」勾選框管理 Script，或在 Script 清單中編輯、刪除或重新排序。
9. 按一下開始完整掃描以執行掃描。
10. 結果：已啟用的腳本會針對每個要求或回應執行。您可以從資料 > 要求標籤 > 要求/回應，檢視 Script 的詳細資料。

    驗證 Script 的語法是否準確，以及是否與 AppScan 支援的 JavaScript 版本相容。如需詳細指南，請參閱 JavaScript 程式碼。

    註：

    • 自訂 Script 會儲存在掃描配置檔中，並可與範本一併匯出。它們不會包含在掃描結果中。
    • 自訂 Script 在匯出至範本時會預設加密。

// 從儲存的全域變數附加 Authorization
var token = environment.globalVariables.get("Authorization");
if (token) request.headers.set("Authorization", token);

// 從 JSON 回應擷取權杖並儲存以供重複使用
try {
		var result = JSON.parse(response.body);
		if (result && result.Authorization) {
			environment.globalVariables.addOrUpdate("Authorization", result.Authorization);
		}
} catch(e) { log(e); }

• 此內容沒有可用的資料物件（要求或回應）；若使用，將傳回空值。
• 使用 setResultValue(value) 傳回值。

// 範例：為註冊流程傳回唯一的電子郵件
function random(n) { return Math.random().toString(36).slice(2, 2+n); }
var email = "test_" + Date.now() + "_" + random(6) + "@example.test";
setResultValue(email);

// 範例：
// 處理標頭
request.headers.set("Authorization", "Bearer");
request.headers.add("X-Trace", "abc");

// 操作主體
request.body = JSON.stringify( { user:"admin" });
if(request.body.includes("admin") ){ ... }

// 讀取路徑
if (request.path.startsWith("/api/v1")) { ... }

// 編輯查詢
request.query.addOrUpdate("lang","en")
request.query.remove("debug")
request.query.getQueryString()

// 讀取方法
if (request.method == "GET") { ... }

1. 全域變數：全域變數資料是一種鍵值資料結構，用於儲存使用者特定的資料配對。金鑰為獨一無二（表示兩個元素不會有相同金鑰，但多重元素可共用相同值），這一點對於在執行 Script 之間共用資料而言非常實用。
2. 掃描狀態：包含目前掃描的相關資訊。

   // 檢查掃描的狀態
   environment.status.isInExplore();
   environment.status.isInTest();

• 受限函數：eval、Function（建構子）、setTimeout、setlnterval。若使用其中任一函式，Script 將執行失敗。
• 限制：最長執行時間：5 秒；記憶體限制：64 MB。超出此限制都會導致 Script 失敗。

  失敗時，掃描會暫停，詳細資訊會記錄在 UserScript.log 中。

• ES6：產生器、尾端呼叫
• ES8：共用記憶體和不可分割運算
• ES15：Atomics.waitAsync、正規表示式旗標 \v

1. 腳本失敗：檢查日誌資料夾（預設：[UserDataFolder]\AppData\Roaming\HCL\AppScan Standard\logs）以取得錯誤的詳細資訊。若遇到未處理的例外，請使用 try...catch 區塊包覆程式碼，以妥善處理錯誤。
2. 腳本未執行：請確定已在配置設定中啟用腳本。

   若問題與登入或授權相關，請考慮從配置 → 進階配置 → 安全性套件順序中移除 negotiate 值，防止 AppScan 自動處理這些鑑別。