定制脚本

1. 转至工具 > 选项> 高级选项卡。
2. 将 CustomScripts.Enable 设置设定为“False”。

1. 导航到配置设置中的高级部分下的定制脚本。
2. 单击 + 添加按钮。
3. 名称字段预先填充了脚本创建的日期和时间。您可以根据需要更改名称。
4. 在执行上下文下拉列表中，选择请求之前或响应之后，具体取决于您希望脚本运行的时间。
5. 在 JavaScript 字段中，输入您的 JavaScript 代码。要接收 AppScan 环境中 JavaScript 代码的建议，请按 Ctrl+Space。

   确保您的代码没有语法错误，并且与 AppScan 支持的 JavaScript 版本兼容。有关规则以及如何编写代码的更多信息，请参阅 JavaScript 代码。

   示例 1：自动将登录详细信息添加到您的请求中（无需使用登录管理配置）。

   // Before each request
   if(request.method == "POST") {
       request.body = JSON.stringify({
           "username": "jsmith",
           "password": "demo1234"
       })
   }

   示例 2：检查响应是否包含 API 密钥，并将其存储在全局变量中。

   // After each response
   try {
           var result = JSON.parse(response.body)
           log(`parsing: ${JSON.parse(response.body).Authorization}`)
           if(result.Authorization) {
               environment.globalVariables.addOrUpdate("Authorization", result.Authorization)
               log(`key = ${result.Authorization}`)
           }
   }
   catch (error) {
           log(error)
   }

   示例 3：将授权 API 密钥（如果存在）设置到标头。

   // Before each request
   var authorization = environment.globalVariables.get("Authorization")
       if(authorization) {
           request.headers.set("Authorization", authorization)
           log(`authorization is ${authorization}`)
       }

6. 单击添加以保存您的脚本。该脚本将添加到列表中并缺省启用。
   Note: 在 DAST 扫描期间，您添加的脚本将针对每个 HTTP 请求或响应执行。
   合理使用此功能可以提高扫描的效率和效果。在实时扫描中部署脚本之前，请务必在受控环境中测试脚本，以避免出现任何意外行为或结果。
7. 您可以使用启用复选框，从定制脚本列表中选择启用或禁用脚本。
8. 您可以修改、删除或更改脚本的执行顺序。在脚本的右上角，单击 并选择如下选项：
   • 编辑
   • 删除
   • 上移
   • 下移
9. 单击开始全面扫描运行扫描。
10. 结果：将针对每个请求或响应执行启用的脚本。您可以从数据 > 请求选项卡 > 请求/响应查看脚本的详细信息。
    Note: 当您导出模板中的定制脚本时，缺省情况下会对脚本进行加密。要手动禁用此加密，请从扫描配置设置中转到高级配置并设置常规：将加密敏感数据设为 False。

1. 正文：包含请求的响应正文。响应为字符串格式，如有必要，您需要手动进行转换（例如，转换为 JSON）。

   // Access body
   response.body

   // Example
   let json = JSON.parse(config.response)

2. 路径：包含有关响应端点的信息。

   // Access to the relative url
   response.path

   // Example
   if (response.path.startsWith("api/v1/test"))

3. 状态：存储有关响应状态的详细信息。状态是一个具有以下属性的对象：

   // Access status
   response.status.statusCode // A numeric representation of the status
   response.status.statusDescription // The description of the status code
   response.status.statusLine //the whole status line including the http version

   // Example
   if (response.status.statusCode == 200) // check only the number
   if (response.status.statusDescription == "OK") // Check only the description
   if (response.status.statusLine == "HTTP1.1 200 OK") // Full line

4. 标头：包含所有响应标头。除缺省标头外，您可以添加、删除或修改任何标头。

   // Add header
   response.headers.add(key, value)

   // Override header if exist
   response.headers.set(key, value)

   // Remove header
   response.headers.remove(key)

   // Modify header
   response.headers[key]

   // Examples
   response.headers.add("Authorization", "MyCoolApiKey")
   response.headers.set("Authorization", "SecondApiKey")
   response.headers.remove("Authorization")
   response.headers['Authorization'] = "myapikey3"

5. 父项请求：包含在响应之前发送的请求的对象。请求数据是只读的。该请求具有先前定义的请求对象的所有属性。

   // Example
   response.request.path //- access to the path from the request

1. 全局变量: 全局变量数据是一种键-值数据结构，旨在存储用户特定的数据对。键是唯一的（意味着没有两个元素可以具有相同的键，尽管多个元素可以共享相同的值），这对于在运行中的脚本之间共享数据非常有用。

   每次完成新扫描或重新扫描后，系统都会擦除这些数据。

   // Add data to the globals or update existing one
   environment.globalVariables.addOrUpdate(key, value)

   // Remove key data from the globals
   environment.globalVariables.remove(key)

   // Read data - retrieves the value for the current key (without removing it)
   environment.globalVariables.get(key)

2. 扫描状态：包含当前扫描的相关信息。

   // determine if the current phase is explore phase
   environment.status.isInExplore()

   // determine if the current phase is test phase
   environment.status.isInTest()

// Log message to file
log("my cool logging")

// Log message with custom source
log("message", "my-cool-source")

• eval
• 函数（构造函数）
• setTimeout
• setInterval

• ES6 （2015）
  • 生成器
  • 尾调用
• ES8 （2017）
  • 共享内存和原子操作
• ES15 （2024）
  • Atomics.waitAsync
  • 正则表达式标志 \v