カスタムスクリプト

1. 「ツール」 > 「オプション」 > 「拡張」タブに移動します。
2. CustomScripts.Enable 設定を「False」に設定します。

1. 構成設定の「拡張」セクションの「カスタム・スクリプト」に移動します。
2. 「+ 追加」ボタンをクリックします。
3. 「名前」フィールドには、スクリプト作成の日時が事前に入力されています。必要に応じて、名前を変更できます。
4. 「実行コンテキスト」ドロップダウンで、スクリプトを実行するタイミングに応じて、「要求前」または「要求後」を選択します。
5. 「JavaScript」フィールドに、JavaScript コードを入力します。AppScan 環境内で JavaScript コードの提案を受け取るには、「Ctrl+Space」 を押します。

   コードに構文エラーがなく、AppScan によってサポートされている JavaScript のバージョンと互換性があることを確認します。ルール、およびコードの記述方法について詳しくは、「JavaScript コード」を参照してください。

   例 1: ログイン詳細を要求に自動的に追加します (ログイン管理構成を使用しない場合)。

   // Before each request
   if(request.method == "POST") {
       request.body = JSON.stringify({
           "username": "jsmith",
           "password": "demo1234"
       })
   }

   例 2: 応答に API キーが含まれるかどうかを確認し、グローバル変数に格納します。

   // After each response
   try {
           var result = JSON.parse(response.body)
           log(`parsing: ${JSON.parse(response.body).Authorization}`)
           if(result.Authorization) {
               environment.globalVariables.addOrUpdate("Authorization", result.Authorization)
               log(`key = ${result.Authorization}`)
           }
   }
   catch (error) {
           log(error)
   }

   例 3: 許可 API キーが存在する場合は、許可 API キーをヘッダーに設定します。

   // Before each request
   var authorization = environment.globalVariables.get("Authorization")
       if(authorization) {
           request.headers.set("Authorization", authorization)
           log(`authorization is ${authorization}`)
       }

6. 「追加」をクリックしてスクリプトを保存します。スクリプトがリストに追加され、デフォルトで有効になります。
   Note: 追加したスクリプトは、DAST スキャン中に HTTP 要求または応答ごとに実行されます。
   この機能を適切に使用して、スキャンの効率および有効性を高めてください。予期しない動作または結果を避けるため、スクリプトをライブ・スキャンにデプロイする前に、制御された環境でスクリプトを必ずテストしてください。
7. 「有効」チェックボックスを使用して、カスタム・スクリプトのリストからスクリプトを有効または無効にすることができます。
8. スクリプトの実行の順序は修正、削除または変更できます。スクリプトの右隅で、 をクリックし、次のようにオプションを選択します。
   • 編集
   • 削除
   • 上に移動
   • 下に移動
9. 「フル・スキャンの開始」をクリックして、スキャンを実行します。
10. 結果: 有効なスクリプトが、要求または応答ごとに実行されます。「データ」 > 「要求」タブ > 「要求/応答」から、スクリプトの詳細を表示できます。
    Note: テンプレートでカスタム・スクリプトをエクスポートすると、デフォルトで暗号化されます。この暗号化を手動で無効にするには、スキャンの構成設定から「詳細設定」に移動して「全般: 機密データを暗号化」を「False」に設定します。

1. 本文: 要求の応答本文を保持します。応答はストリング形式であるため、必要に応じて手動で (例: JSON に) 変換する必要があります。

   // Access body
   response.body

   // Example
   let json = JSON.parse(config.response)

2. パス: 応答エンドポイントに関する情報を含んでいます。

   // Access to the relative url
   response.path

   // Example
   if (response.path.startsWith("api/v1/test"))

3. ステータス: 応答ステータスに関する詳細を格納します。ステータスは、次のプロパティーを持つオブジェクトです。

   // Access status
   response.status.statusCode // A numeric representation of the status
   response.status.statusDescription // The description of the status code
   response.status.statusLine //the whole status line including the http version

   // Example
   if (response.status.statusCode == 200) // check only the number
   if (response.status.statusDescription == "OK") // Check only the description
   if (response.status.statusLine == "HTTP1.1 200 OK") // Full line

4. ヘッダー: すべての応答ヘッダーを含んでいます。デフォルト・ヘッダー以外の任意のヘッダーを追加、削除または変更できます。

   // Add header
   response.headers.add(key, value)

   // Override header if exist
   response.headers.set(key, value)

   // Remove header
   response.headers.remove(key)

   // Modify header
   response.headers[key]

   // Examples
   response.headers.add("Authorization", "MyCoolApiKey")
   response.headers.set("Authorization", "SecondApiKey")
   response.headers.remove("Authorization")
   response.headers['Authorization'] = "myapikey3"

5. 親要求: 応答の前に送信された要求を含んでいるオブジェクト。要求データは読み取り専用です。要求は、以前に定義された要求オブジェクトとしてすべてのプロパティーを持ちます。

   // Example
   response.request.path //- access to the path from the request

1. グローバル変数: グローバル変数データは、ユーザー固有のデータ・ペアを格納するために設計されたキー - 値データ構造です。キーは一意 (2 つの要素が同じキーを持つことはできませんが、複数の要素が同じ値を共有することはできます) であり、実行中のスクリプト間でデータを共有するのに便利です。

   このデータは、新しいスキャンまたは再スキャンが行われるたびに消去されます。

   // Add data to the globals or update existing one
   environment.globalVariables.addOrUpdate(key, value)

   // Remove key data from the globals
   environment.globalVariables.remove(key)

   // Read data - retrieves the value for the current key (without removing it)
   environment.globalVariables.get(key)

2. スキャン状況: 現在のスキャンに関する情報を含んでいます。

   // determine if the current phase is explore phase
   environment.status.isInExplore()

   // determine if the current phase is test phase
   environment.status.isInTest()

// Log message to file
log("my cool logging")

// Log message with custom source
log("message", "my-cool-source")

• eval
• 関数 (コンストラクター)
• setTimeout
• setInterval

• ES6 (2015)
  • ジェネレータ
  • 末尾呼び出し
• ES8 (2017)
  • 共有メモリとアトミック機能
• ES15 (2024)
  • Atomics.waitAsync
  • 正規表現 \v フラグ