Intégration de scripts personnalisés dans AppScan pour un examen DAST amélioré

1. Allez dans Outils > Options > onglet Avancé.
2. Réglez le paramètre CustomScripts.Enable sur « False ».

1. Sélectionnez Scripts personnalisés dans la section Avancé des paramètres de configuration.
2. Cliquez sur le bouton + Ajouter.
3. Modifiez le champ Nom prérempli si nécessaire.
4. Choisissez le Contexte d'exécution approprié pour votre script : :
   1. Avant la requête pour que les scripts soient exécutés avant l'envoi des requêtes.
   2. Après la réponse pour que les scripts soient exécutés après la réception des réponses.
   3. Paramètre pour les tâches qui impliquent plusieurs étapes ou le remplissage de formulaires. Vous pouvez utiliser ce contexte en conjonction avec la méthode setResultValue pour permettre aux scripts de renvoyer les résultats à AppScan.
5. Saisissez votre JavaScript dans le champ JavaScript (éditeur de code) et utilisez Ctrl+espace pour obtenir des suggestions automatiques dans l'environnement AppScan.

   Vérifiez l'exactitude syntaxique et la compatibilité de votre script avec la version JavaScript prise en charge dans AppScan. Pour obtenir des instructions détaillées, reportez-vous à la section Code JavaScript.

   Conseil : Les erreurs de syntaxe sont mises en évidence dans l'éditeur de code et peuvent être identifiées par des info-bulles, bien qu'elles n'empêchent pas l'exécution du script.

   

   Exemple 1 : ajoutez automatiquement des détails de connexion à vos requêtes (sans utiliser la configuration de la gestion des connexions).

   // Before each request
   if(request.method == "POST") {
       request.body = JSON.stringify({
           "username": "jsmith",
           "password": "demo1234"
       })
   }

   Exemple 2 : stockez les clés API des réponses dans des variables globales.

   // After each response
   try {
           var result = JSON.parse(response.body)
           log(`parsing: ${JSON.parse(response.body).Authorization}`)
           if(result.Authorization) {
               environment.globalVariables.addOrUpdate("Authorization", result.Authorization)
               log(`key = ${result.Authorization}`)
           }
   }
   catch (error) {
           log(error)
   }

   Exemple 3 : ajoutez la clé d'API d'autorisation sur l'en-tête s'il existe.

   // Before each request
   var authorization = environment.globalVariables.get("Authorization")
       if(authorization) {
           request.headers.set("Authorization", authorization)
           log(`authorization is ${authorization}`)
       }    

   Exemple 4 : Ajouter un autre en-tête avec une valeur différente.

   // Avant chaque requête, 
   function addUniqueHeader(headerName, value) {
       if(!(request.headers[headerName] != null && request.headers[headerName].includes(value))) {
           request.headers.add(headerName, value)
           }
   }
   addUniqueHeader(“headerName”,”Value”) 

6. Cliquez sur Ajouter pour enregistrer votre script. Le script est ajouté à la liste et activé par défaut.
   Remarque : Ces scripts sont exécutés pour chaque requête ou réponse HTTP au cours de l'examen DAST.
   Utilisez cette fonction à bon escient pour améliorer l'efficacité de vos examens. Testez vos scripts dans un environnement contrôlé avant tout déploiement dans l'environnement actif pour vous assurer qu'ils fonctionnent comme prévu.
7. Vous pouvez choisir d'activer ou de désactiver un script de la liste des scripts personnalisés à l'aide de la case à cocher Activer.
8. Gérez vos scripts en utilisant la case à cocher Activer ou en modifiant, en supprimant ou en réorganisant les scripts dans la liste de scripts.
9. Cliquez sur Démarrer un examen complet pour démarrer l'examen.
10. Résultat : Les scripts activés sont exécutés pour chaque requête ou réponse. Vous pouvez consulter les détails des scripts dans Données > onglet Requêtes > Requête/Réponse.
    Remarque : Les scripts personnalisés sont chiffrés par défaut lorsqu'ils sont exportés dans un modèle. Pour désactiver le chiffrement, réglez le paramètre Général : Chiffrer les données sensibles sur False dans la configuration des examens.

1. Corps : Contient le corps de la réponse. La réponse est au format chaîne, vous devez donc la convertir manuellement si nécessaire (en JSON par exemple). Cette propriété est en lecture seule ; elle reste inchangée même si vous tentez de la modifier avant d'exécuter le script.

   // Access body
   response.body

   // Example
   let json = JSON.parse(config.response)

2. Chemin : Contient des informations sur le nœud final de la réponse.

   // Access to the relative url
   response.path

   // Example
   if (response.path.startsWith("api/v1/test"))

3. Statut : Stocke des détails sur l'état de la réponse. L'état est un objet doté des propriétés suivantes :

   // Access status
   response.status.statusCode // A numeric representation of the status
   response.status.statusDescription // The description of the status code
   response.status.statusLine //the whole status line including the http version

   // Example
   if (response.status.statusCode == 200) // check only the number
   if (response.status.statusDescription == "OK") // Check only the description
   if (response.status.statusLine == "HTTP1.1 200 OK") // Full line

4. En-têtes : Contient tous les en-têtes de la réponse. Vous pouvez ajouter, supprimer ou modifier n'importe quel en-tête, à l'exception des en-têtes par défaut.

   // Add header
   response.headers.add(key, value)

   // Override header if exist
   response.headers.set(key, value)

   // Remove header
   response.headers.remove(key)

   // Modify header
   response.headers[key]

   // Examples
   response.headers.add("Authorization", "MyCoolApiKey")
   response.headers.set("Authorization", "SecondApiKey")
   response.headers.remove("Authorization")
   response.headers['Authorization'] = "myapikey3"

5. ParentRequest : Objet contenant la requête envoyée avant la réponse. Les données de requête sont en lecture seule. La requête possède toutes les propriétés de l'objet requête défini précédemment.

   // Example
   response.request.path //- access to the path from the request

1. Variable globale : Les données des variables globales sont une structure de données clé-valeur conçue pour stocker des paires de données spécifiques à l'utilisateur. Les clés sont uniques (c'est-à-dire que deux éléments ne peuvent pas avoir la même clé, bien que plusieurs éléments puissent partager la même valeur), ce qui est utile pour partager des données entre des scripts en cours d'exécution.

   Ces données sont effacées à chaque fois qu'un nouvel examen ou un réexamen est effectué.

   // Add data to the globals or update existing one
   environment.globalVariables.addOrUpdate(key, value)

   // Remove key data from the globals
   environment.globalVariables.remove(key)

   // Read data - retrieves the value for the current key (without removing it)
   environment.globalVariables.get(key)

2. Statut de l'examen : Contient des informations sur l'examen en cours.

   // determine if the current phase is explore phase
   environment.status.isInExplore()

   // determine if the current phase is test phase
   environment.status.isInTest()

// Log message to file
log("my cool logging")

// Log message with custom source
log("message", "my-cool-source")

// Sets the script execution result
setResultValue("result")

• ES6 (2015)
  • Générateurs
  • Appels résiduels
• ES8 (2017)
  • Mémoire partagée et opérations atomiques
• ES15 (2024)
  • Atomics.waitAsync
  • Balise d'expression régulière \v