在 AppScan 整合自訂 Script 以增強 DAST 掃描功能

1. 移至工具 > 選項 > 進階標籤。
2. 將 CustomScripts.Enable 設定設為 "False"。

1. 選擇配置設定的「進階」區段下的「自訂 Script」。
2. 按一下 + 新增按鈕。
3. 視需要，編輯預先填入的「名稱」欄位。
4. 為 Script 選擇合適的「執行環境定義」：：
   1. 「要求前」適用於在傳送要求前執行的 Script。
   2. 「回應後」適用於在接收回應後執行的 Script。
   3. 「參數」適用於需要多重步驟或填寫表單的作業。您可以搭配 setResultValue 方法使用此環境定義，讓 Script 傳回結果至 AppScan。
5. 在 JavaScript 欄位（程式碼編輯器）輸入 JavaScript，並在 AppScan 環境中使用 Ctrl+Space 以取得自動完成的建議。

   驗證 Script 的語法是否準確，以及是否與 AppScan 支援的 JavaScript 版本相容。如需詳細指南，請參閱 JavaScript 程式碼。

   Tip: 儘管無法防止執行錯誤的語法，但在程式碼編輯器內會反白顯示錯誤語法，亦有工具提示可識別。

   

   範例 1：將登入詳細資料自動新增至您的要求（不使用登入管理配置）。

   // Before each request
   if(request.method == "POST") {
       request.body = JSON.stringify({
           "username": "jsmith",
           "password": "demo1234"
       })
   }

   範例 2：將來自回應的 API 金鑰儲存於廣域變數中。

   // After each response
   try {
           var result = JSON.parse(response.body)
           log(`parsing: ${JSON.parse(response.body).Authorization}`)
           if(result.Authorization) {
               environment.globalVariables.addOrUpdate("Authorization", result.Authorization)
               log(`key = ${result.Authorization}`)
           }
   }
   catch (error) {
           log(error)
   }

   範例 3：若有授權 API 金鑰，請將其附加至標頭。

   // Before each request
   var authorization = environment.globalVariables.get("Authorization")
       if(authorization) {
           request.headers.set("Authorization", authorization)
           log(`authorization is ${authorization}`)
       }    

   範例 4：添加另一個具有不同值的標頭。

   在每個請求函數之前添加唯一標頭 
   function addUniqueHeader(headerName, value) {
       if(!(request.headers[headerName] != null && request.headers[headerName].includes(value))) {
           request.headers.add(headerName, value)
           }
   }
   addUniqueHeader(“headerName”,”Value”)  

6. 按一下新增以儲存 Script。Script 會新增至清單且預設為啟用。
   Note: 在 DAST 掃描期間，每個 HTTP 要求或回應都會執行這些 Script。
   睿智運用此功能，便可提升掃描效率和效益。在上線部署前，先於控制環境中測試 Script，以確保如預期運作。
7. 您可利用啟用勾選框，從自訂 Script 清單選擇啟用或停用 Script。
8. 使用「啟用」勾選框管理 Script，或在 Script 清單中編輯、刪除或重新排序。
9. 按一下開始完整掃描以執行掃描。
10. 結果：每項要求或回應都會執行啟用的 Script。您可以從資料 > 要求標籤 > 要求/回應，檢視 Script 的詳細資料。
    Note: 匯出範本中的自訂 Script 時，其預設為加密。若要停用加密，請在掃描配置中，將「一般：加密機密資料」設定調整為 False。

1. 內文：包含要求的回應內文。回應採用字串格式，因此您必須視需要手動轉換（例如轉換至 JSON）。此內容為唯讀；即使您嘗試在執行 Script 前對其進行變更，該內容仍維持相同。

   // Access body
   response.body

   // Example
   let json = JSON.parse(config.response)

2. 路徑：包含回應端點的相關資訊。

   // Access to the relative url
   response.path

   // Example
   if (response.path.startsWith("api/v1/test"))

3. 狀態：儲存回應狀態的詳細資料。狀態是具有以下內容的物件：

   // Access status
   response.status.statusCode // A numeric representation of the status
   response.status.statusDescription // The description of the status code
   response.status.statusLine //the whole status line including the http version

   // Example
   if (response.status.statusCode == 200) // check only the number
   if (response.status.statusDescription == "OK") // Check only the description
   if (response.status.statusLine == "HTTP1.1 200 OK") // Full line

4. 標頭：包含所有回應標頭。您可新增、移除或修改預設標頭以外的任何標頭。

   // Add header
   response.headers.add(key, value)

   // Override header if exist
   response.headers.set(key, value)

   // Remove header
   response.headers.remove(key)

   // Modify header
   response.headers[key]

   // Examples
   response.headers.add("Authorization", "MyCoolApiKey")
   response.headers.set("Authorization", "SecondApiKey")
   response.headers.remove("Authorization")
   response.headers['Authorization'] = "myapikey3"

5. 上層要求：包含在回應前所傳送要求的物件。要求資料為唯讀。要求具有先前用於定義要求物件的所有內容。

   // Example
   response.request.path //- access to the path from the request

1. 廣域變數：廣域變數資料具有金鑰-值資料結構，專為儲存使用者特有的資料配對而設計。金鑰為獨一無二（表示兩個元素不會有相同金鑰，但多重元素可共用相同值），這一點對於在執行 Script 之間共用資料而言非常實用。

   每次完成新掃描或重新掃描時，即會清除此資料。

   // Add data to the globals or update existing one
   environment.globalVariables.addOrUpdate(key, value)

   // Remove key data from the globals
   environment.globalVariables.remove(key)

   // Read data - retrieves the value for the current key (without removing it)
   environment.globalVariables.get(key)

2. 掃描狀態：包含現行掃描的相關資訊。

   // determine if the current phase is explore phase
   environment.status.isInExplore()

   // determine if the current phase is test phase
   environment.status.isInTest()

// Log message to file
log("my cool logging")

// Log message with custom source
log("message", "my-cool-source")

// Sets the script execution result
setResultValue("result")

• ES6 (2015)
  • 產生器
  • 尾呼叫
• ES8 (2017)
  • 共享記憶體與 Atomic
• ES15 (2024)
  • Atomics.waitAsync
  • 正規表示式標誌 \v