使用外部用戶端記錄登入

開始之前

當您使用外部用戶端將要求送至應用程式時，不需要「起始 URL」，但是 AppScan 會在「探索」階段完成之後，定義自己的「起始 URL」。

執行這項作業的原因和時機

使用外部瀏覽器記錄登入可讓您教導 AppScan®，使其瞭解要傳送哪些要求，讓 AppScan 可以在掃描期間登入。當您登入之後，AppScan 會識別階段作業內型樣，供日後用來驗證它仍然登入。

在掃描期間，AppScan 必須全程都知道它在網站中是登入還是登出的狀態，如此才能正確評估網站的回應。在掃描期間，AppScan 一再傳送階段作業內偵測要求，並檢查回應是否包含「階段作業內偵測型樣」，以驗證是否仍保持登入狀態。如果 AppScan 在頁面的回應中找不到型樣，則 AppScan 會假設該型樣已遭登出，並嘗試透過重播登入序列再次登入。這意味著在掃描期間通常會播放許多次的登入序列。因此，登入序列包含的步驟愈少愈好。「階段作業內」頁面如果是小頁面且不含追蹤參數或 Cookie 也會有幫助，因為這些因素也會明顯地增加掃描時間。

如果要記錄登入：

程序

  1. 在掃描配置 > 登入管理中，選取已記錄登入方法。
  2. 按一下錄製登入序列按鈕 > 外部用戶端 > 中的向下箭頭 (v)，然後選取您要用來登入的用戶端。
    選項敘述
    Postman AppScan® 將會開啟並自動配置 Postman 以作為記錄 Proxy（IP 和連接埠）與 AppScan® 搭配使用。AppScan® 接著會開啟其流量記錄器，記錄您從 Postman 傳送的要求。
    SoapUI AppScan® 將會開啟並自動配置 SoapUI 以作為記錄 Proxy（IP 和連接埠）與 AppScan® 搭配使用。AppScan® 接著會開啟其流量記錄器，記錄您從 SoapUI 傳送的要求。
    註： 配置變更會影響階段作業期間開啟的其他任何實例。因此，建議您在開始之前關閉任何開啟的實例，而且不要在您記錄時開啟任何實例。當您關閉 AppScan 時，SoapUI 也會關閉，且設定會變更回它們原先的設定。
    其他 在以下情形選取此選項：如果您想要使用的用戶端已安裝在不同機器上，或者如果您在與 AppScan® 相同的機器上使用 Postman 或 SoapUI 以外的用戶端。系統會要求您手動開啟和配置您的用戶端，以便使用 AppScan 作為 Proxy。

    AppScan 的「外部登入記錄器」會開啟，記錄您從用戶端傳送至 Ｗeb 服務的要求。如需詳細資料，請參閱 外部登入記錄器

    如果您已選取 Postman 或 SoapUI，則它會開啟並且配置為使用 AppScan 作為記錄 Proxy。
    註： 只有在安裝於與 AppScan 相同的機器上時，AppScan 才可以自動配置 Postman 或 SoapUI，否則您必須選取「其他」，並且在下一個步驟中自行配置用戶端。
  3. 如果您已選取外部用戶端 > 其他，請開啟您的用戶端，並且將其配置為使用資料流量記錄器最上方顯示的埠和 IP。如果用戶端位於與 AppScan 相同的機器上，請使用顯示的「本端 IP」，否則請使用「遠端 IP」。
  4. 從用戶端傳送任何需要的要求，以便使用有效的使用者身分登入網站。當您登入時，傳送只能由已登入使用者傳送的其他要求。
    重要：
    • 若是 Web API，您必須在登入之後傳送其他要求，這樣 AppScan 才能識別階段作業內型樣。
    • 確認您傳送的資料流量已顯示在登入記錄器中。如果未顯示，請參閱資料流量記錄器疑難排解。
  5. 在登入記錄器中，按一下停止記錄，然後按一下儲存以關閉。

    AppScan® 從登入要求擷取登入資訊，以供掃描期間使用。

    這時會開啟「階段作業資訊」對話框，顯示您記錄的登入要求，且綠色勾選圖示會指示階段作業內偵測在作用中。
    註： 如果勾選圖示變成紅色，則 AppScan® 會嘗試，但無法識別階段作業內頁面中有任何型樣，可在掃描期間用來驗證未遭登出。如果發生這個情況，您需要為 AppScan® 識別「階段作業內型樣」，請參閱 選取「偵測型樣」對話框 以取得詳細資料。在某些情況下，可能會出現更明確的訊息，其中含有這個「說明」中頁面的鏈結，供您進行問題疑難排解；請參閱登入疑難排解。
  6. 如果要變更記錄的序列（比方說，如果要移除不必要的步驟），請參閱登入播放。
    提示： 一般來說，將使用者登入的 URL（其回應是第一個包含階段作業內型樣的項目）應該要標示「階段作業內」。不過，有時候您可能會想要選取稍後的 URL，同樣也包含階段作業內型樣，但是卻有頁面較小，或不包含追蹤參數或 Cookie 的優點。此外，含有使用者認證的 POST 要求，有時是讓您登入且最先含有階段作業內型樣的要求，但對階段作業內頁面而言，這是很差的選擇，因為階段作業內檢查每次都會傳送認證，導致階段作業回應中發生誤判。請參閱 最佳化階段作業內偵測
  7. 如果要儲存新的登入序列，按一下確定。
    提示： 如果您確定階段作業內頁面沒有包含追蹤參數或 Cookie，您可以將進階配置 > 階段作業管理：剖析階段作業內頁面設定變更為「False」，來改善掃描效能。請參閱進階配置。
    限制： 不支援需要使用者存在的鑑別方法，例如「含提示使用者的 OAuth2」。不過，您可以搭配使用 OAuth2 與離線 授與類型，而此授與類型使用重新整理記號（也稱為服務記號）。

下一步

相關主題：

資料流量記錄器疑難排解

手動探索

多步驟作業