在 AppScan 中集成定制脚本，以增强 DAST 扫描

1. 转至工具 > 选项> 高级选项卡。
2. 将 CustomScripts.Enable 设置设定为“False”。

1. 在配置设置中的高级部分下，选择定制脚本。
2. 单击 + 添加按钮。
3. 如有需要，可修改预填的名称字段。
4. 为脚本选择适当的执行上下文：：
   1. 请求前脚本：在发送请求前运行脚本。
   2. 响应后：在收到响应后运行脚本。
   3. 参数：用于包含多个步骤或填写表单的任务。您可以将此上下文与 setResultValue 方法结合使用，以便脚本将结果返回给 AppScan。
5. 在 JavaScript 字段（代码编辑器）中输入JavaScript，并使用 Ctrl+空格键在 AppScan 环境中自动完成建议。

   请验证脚本的语法是否正确，并确认其与 AppScan 支持的 JavaScript 版本兼容。如需详细指导，请参阅 JavaScript 代码。

   Tip: 代码编辑器会高亮显示语法错误，并通过工具提示帮助识别错误，但这些错误不会阻止脚本执行。

   

   示例 1：可自动将登录详细信息添加到请求中，无需启用登录管理配置。

   // Before each request
   if(request.method == "POST") {
       request.body = JSON.stringify({
           "username": "jsmith",
           "password": "demo1234"
       })
   }

   示例 2：将来自响应的 API 密钥存储在全局变量中。

   // After each response
   try {
           var result = JSON.parse(response.body)
           log(`parsing: ${JSON.parse(response.body).Authorization}`)
           if(result.Authorization) {
               environment.globalVariables.addOrUpdate("Authorization", result.Authorization)
               log(`key = ${result.Authorization}`)
           }
   }
   catch (error) {
           log(error)
   }

   示例 3：将授权 API 密钥（如果存在）附加到标头。

   // Before each request
   var authorization = environment.globalVariables.get("Authorization")
       if(authorization) {
           request.headers.set("Authorization", authorization)
           log(`authorization is ${authorization}`)
       }    

   示例 4：添加另一个具有不同值的标题。

   在每个请求函数之前添加唯一的头部 
   function addUniqueHeader(headerName, value) {
       if(!(request.headers[headerName] != null && request.headers[headerName].includes(value))) {
           request.headers.add(headerName, value)
           }
   }
   addUniqueHeader(“headerName”,”Value”) 

6. 单击添加以保存您的脚本。该脚本将添加到列表中并缺省启用。
   Note: 在 DAST 扫描期间，对每个 HTTP 请求或响应执行脚本。
   合理使用此功能可以提高扫描的效率和效果。在实时部署之前，在受控环境中测试脚本，以确保它们按预期运行。
7. 您可以使用启用复选框，从定制脚本列表中选择启用或禁用脚本。
8. 使用启用复选框，或通过在脚本列表中编辑、删除脚本或重新排序脚本来管理脚本。
9. 单击开始全面扫描运行扫描。
10. 结果：将针对每个请求或响应执行启用的脚本。您可以从数据 > 请求选项卡 > 请求/响应查看脚本的详细信息。
    Note: 缺省情况下，定制脚本在导出到模板时会进行加密。要禁用加密，请在扫描配置中将常规：加密敏感数据设置调整为 False。

1. 正文：保存请求的响应正文。响应为字符串格式，如有必要，您需要手动进行转换（例如，转换为 JSON）。该属性为只读；即使您在运行脚本前尝试修改，它也不会发生变化。

   // Access body
   response.body

   // Example
   let json = JSON.parse(config.response)

2. 路径：包含有关响应端点的信息。

   // Access to the relative url
   response.path

   // Example
   if (response.path.startsWith("api/v1/test"))

3. 状态：存储有关响应状态的详细信息。状态是一个具有以下属性的对象：

   // Access status
   response.status.statusCode // A numeric representation of the status
   response.status.statusDescription // The description of the status code
   response.status.statusLine //the whole status line including the http version

   // Example
   if (response.status.statusCode == 200) // check only the number
   if (response.status.statusDescription == "OK") // Check only the description
   if (response.status.statusLine == "HTTP1.1 200 OK") // Full line

4. 标头：包含所有响应标头。除缺省标头外，您可以添加、删除或修改任何标头。

   // Add header
   response.headers.add(key, value)

   // Override header if exist
   response.headers.set(key, value)

   // Remove header
   response.headers.remove(key)

   // Modify header
   response.headers[key]

   // Examples
   response.headers.add("Authorization", "MyCoolApiKey")
   response.headers.set("Authorization", "SecondApiKey")
   response.headers.remove("Authorization")
   response.headers['Authorization'] = "myapikey3"

5. 父项请求：包含在响应之前发送的请求的对象。请求数据是只读的。该请求具有先前定义的请求对象的所有属性。

   // Example
   response.request.path //- access to the path from the request

1. 全局变量: 全局变量数据是一种键-值数据结构，旨在存储用户特定的数据对。键是唯一的（意味着没有两个元素可以具有相同的键，尽管多个元素可以共享相同的值），这对于在运行中的脚本之间共享数据非常有用。

   每次完成新扫描或重新扫描后，系统都会擦除这些数据。

   // Add data to the globals or update existing one
   environment.globalVariables.addOrUpdate(key, value)

   // Remove key data from the globals
   environment.globalVariables.remove(key)

   // Read data - retrieves the value for the current key (without removing it)
   environment.globalVariables.get(key)

2. 扫描状态：包含当前扫描的相关信息。

   // determine if the current phase is explore phase
   environment.status.isInExplore()

   // determine if the current phase is test phase
   environment.status.isInTest()

// Log message to file
log("my cool logging")

// Log message with custom source
log("message", "my-cool-source")

// Sets the script execution result
setResultValue("result")

• ES6 （2015）
  • 生成器
  • 尾调用
• ES8 （2017）
  • 共享内存和原子操作
• ES15 （2024）
  • Atomics.waitAsync
  • 正则表达式标志 \v