化接口測(cè)試：集成AES與國(guó)密SM4加解密實(shí)戰(zhàn)指南)
1. 從手動(dòng)復(fù)制粘貼到自動(dòng)化為什么我們需要在Postman里處理加解密如果你經(jīng)常和需要加解密的后端接口打交道下面這個(gè)場(chǎng)景你一定不陌生開發(fā)給了你一個(gè)接口文檔上面寫著“請(qǐng)求體需用SM4加密密鑰是xxx模式是CBC填充是PKCS5Padding”。你拿到一個(gè)明文的JSON比如{idCard: 110101199001011234, name: 張三}然后你打開一個(gè)在線的加密工具網(wǎng)站或者啟動(dòng)一個(gè)本地的小腳本把明文、密鑰、IV如果有填進(jìn)去點(diǎn)擊加密得到一串長(zhǎng)長(zhǎng)的密文。接著你把這串密文小心翼翼地復(fù)制到Postman的請(qǐng)求體里發(fā)送請(qǐng)求。如果后端返回“解密失敗”你又得回到加密工具檢查是不是模式選錯(cuò)了、IV沒加、或者密鑰填錯(cuò)了再來一輪復(fù)制粘貼。這個(gè)過程繁瑣、低效且容易出錯(cuò)。當(dāng)接口參數(shù)需要?jiǎng)討B(tài)變化或者你需要用不同的測(cè)試數(shù)據(jù)批量驗(yàn)證時(shí)這種手動(dòng)操作幾乎是一場(chǎng)災(zāi)難。更麻煩的是有些接口的響應(yīng)也是加密的你收到一堆亂碼還得再手動(dòng)解密才能看到真正的業(yè)務(wù)數(shù)據(jù)是否如預(yù)期。Postman作為API測(cè)試的瑞士軍刀其核心價(jià)值在于自動(dòng)化、可重復(fù)和協(xié)作。如果加解密這個(gè)環(huán)節(jié)被隔離在外部工具中整個(gè)測(cè)試流程就出現(xiàn)了嚴(yán)重的“斷點(diǎn)”。因此將加解密邏輯內(nèi)置于Postman實(shí)現(xiàn)請(qǐng)求的自動(dòng)加密和響應(yīng)的自動(dòng)解密是提升接口測(cè)試效率和質(zhì)量的關(guān)鍵一步。這不僅僅是省去了復(fù)制粘貼的步驟更是將加解密變成了測(cè)試用例的一部分使得參數(shù)化測(cè)試、數(shù)據(jù)驅(qū)動(dòng)測(cè)試、以及CI/CD流水線中的接口自動(dòng)化測(cè)試成為可能。今天我們就來深入探討如何在Postman中借助Pre-request Script和Tests Script優(yōu)雅地處理AES、SM3、SM4這些常見的加解密算法讓我們的接口測(cè)試工作流真正流暢起來。2. 核心工具與原理Postman腳本、CryptoJS與國(guó)密算法庫(kù)要在Postman中實(shí)現(xiàn)加解密我們主要依靠?jī)蓚€(gè)核心Postman內(nèi)置的JavaScript執(zhí)行環(huán)境以及強(qiáng)大的第三方加密庫(kù)。理解這兩者是如何工作的是后續(xù)一切操作的基礎(chǔ)。2.1 Postman的腳本沙箱Pre-request與TestsPostman為每個(gè)請(qǐng)求提供了兩個(gè)關(guān)鍵的腳本執(zhí)行節(jié)點(diǎn)Pre-request Script請(qǐng)求前腳本在請(qǐng)求被發(fā)送之前運(yùn)行。這是我們實(shí)現(xiàn)請(qǐng)求參數(shù)自動(dòng)加密的主戰(zhàn)場(chǎng)。你可以在這里獲取環(huán)境變量、全局變量中的明文數(shù)據(jù)調(diào)用加密函數(shù)進(jìn)行處理然后將結(jié)果動(dòng)態(tài)設(shè)置到請(qǐng)求的URL、Params、Headers或Body中。Tests Script測(cè)試腳本在收到響應(yīng)之后運(yùn)行。傳統(tǒng)上我們用它來做斷言校驗(yàn)但它同樣可以處理響應(yīng)體的自動(dòng)解密。你可以在這里訪問pm.response.text()獲取原始的可能是加密的響應(yīng)文本調(diào)用解密函數(shù)進(jìn)行處理然后將解密后的明文存入變量供后續(xù)的斷言使用或者直接console.log輸出查看。這兩個(gè)腳本運(yùn)行在一個(gè)加強(qiáng)了功能的Node.js-like沙箱環(huán)境中它內(nèi)置了如CryptoJS這樣的常用庫(kù)但版本和功能有限也允許我們通過require方式引入外部庫(kù)。2.2 加密庫(kù)選型CryptoJS與sm-crypto對(duì)于不同的算法我們需要引入不同的庫(kù)AES加密這是最方便的。Postman沙箱環(huán)境內(nèi)置了CryptoJS庫(kù)。你可以直接使用CryptoJS.AES.encrypt和CryptoJS.AES.decrypt方法。這個(gè)內(nèi)置的CryptoJS版本通常足夠處理AES的CBC、ECB等常見模式和PKCS5/PKCS7填充。這是我們的首選方案。SM2/SM3/SM4國(guó)密算法Postman環(huán)境沒有內(nèi)置國(guó)密算法支持。我們必須通過外部引入。目前最成熟、兼容性最好的選擇是**sm-crypto**這個(gè)純JavaScript實(shí)現(xiàn)的國(guó)密算法庫(kù)。我們需要在腳本中通過require語句來加載它。這里有一個(gè)至關(guān)重要的技術(shù)細(xì)節(jié)Postman的腳本環(huán)境不支持直接從網(wǎng)絡(luò)URL如CDN動(dòng)態(tài)加載外部JS庫(kù)。你不能寫script src...。正確的做法是將目標(biāo)庫(kù)的完整源代碼以字符串的形式復(fù)制粘貼到你的腳本中然后通過eval或者構(gòu)造Function的方式來“安裝”這個(gè)庫(kù)。更優(yōu)雅和可維護(hù)的方式是利用Postman的“全局變量”或“環(huán)境變量”將庫(kù)的源碼存儲(chǔ)為一個(gè)長(zhǎng)長(zhǎng)的字符串變量然后在腳本開頭通過eval(pm.globals.get(smCryptoLibCode))這樣的方式來引入。這確保了庫(kù)代碼在所有請(qǐng)求中可復(fù)用且易于更新。2.3 算法模式與填充理解你的加密參數(shù)在開始寫代碼之前必須和開發(fā)確認(rèn)清楚加密的所有參數(shù)任何一項(xiàng)不匹配都會(huì)導(dǎo)致加解密失敗。以下是關(guān)鍵參數(shù)解析算法AES、SM4。這是根本。密鑰Key加密和解密的鑰匙。需要確認(rèn)長(zhǎng)度如AES-128/192/256對(duì)應(yīng)16/24/32字節(jié)和格式通常是Hex十六進(jìn)制字符串或Base64字符串。模式ModeECB電子密碼本模式。最簡(jiǎn)單同一密鑰下相同明文塊加密結(jié)果相同安全性較弱不推薦用于敏感數(shù)據(jù)。CBC密碼分組鏈接模式。最常用的模式之一需要初始化向量IV。IV的作用是使相同的明文每次加密產(chǎn)生不同的密文提升安全性。IV通常需要和密鑰一起提供給解密方。GCM伽羅瓦/計(jì)數(shù)器模式。這是一種認(rèn)證加密模式不僅能保密還能驗(yàn)證數(shù)據(jù)完整性防篡改。它會(huì)產(chǎn)出密文和一個(gè)認(rèn)證標(biāo)簽Auth Tag。填充Padding因?yàn)榉纸M密碼算法如AES、SM4按固定塊大小如128位處理數(shù)據(jù)明文長(zhǎng)度不是塊大小的整數(shù)倍時(shí)就需要填充。PKCS5/PKCS7最常用的填充方式。本質(zhì)上在PKCS5的上下文中對(duì)于AES這類16字節(jié)塊大小的算法PKCS5和PKCS7是等價(jià)的。NoPadding無填充。要求明文長(zhǎng)度必須是塊大小的整數(shù)倍否則會(huì)出錯(cuò)。輸出格式加密后的結(jié)果通常是一個(gè)二進(jìn)制數(shù)據(jù)CipherParams對(duì)象我們需要將其轉(zhuǎn)換為字符串以便在HTTP請(qǐng)求中傳輸。最常見的是Base64和Hex十六進(jìn)制。必須確認(rèn)后端期望哪種格式。對(duì)于SM3它是哈希算法散列函數(shù)用于生成消息摘要或簽名不可逆。通常用于計(jì)算參數(shù)的簽名Sign而非對(duì)請(qǐng)求體整體加密。3. 實(shí)戰(zhàn)配置在Postman中集成SM-Crypto庫(kù)由于AES有內(nèi)置支持我們重點(diǎn)解決國(guó)密算法的引入問題。我們將sm-crypto庫(kù)集成到Postman中。第一步獲取sm-crypto庫(kù)源碼訪問sm-crypto的GitHub倉(cāng)庫(kù)例如https://github.com/JuneAndGreen/sm-crypto或通過npm獲取其瀏覽器構(gòu)建版本如sm-crypto.min.js。我們需要的是那個(gè)獨(dú)立的、包含所有功能的單個(gè)JS文件內(nèi)容。第二步將庫(kù)源碼存入Postman全局變量在Postman中點(diǎn)擊右上角的眼睛圖標(biāo)進(jìn)入環(huán)境/全局變量管理界面。切換到“Globals”標(biāo)簽頁(yè)。點(diǎn)擊“Add”新建一個(gè)變量。變量名可以設(shè)為smCryptoLib。將sm-crypto庫(kù)的完整、單文件的JS源碼全部復(fù)制粘貼到“Initial value”和“Current value”中。這是一個(gè)非常長(zhǎng)的字符串。點(diǎn)擊“Save”保存。注意全局變量對(duì)所有工作區(qū)請(qǐng)求可見。如果你只在特定項(xiàng)目中使用也可以將其存入“環(huán)境變量”中。關(guān)鍵在于這個(gè)源碼字符串要能被腳本訪問到。第三步編寫通用的庫(kù)加載腳本為了避免在每個(gè)請(qǐng)求的Pre-request和Tests腳本中都重復(fù)寫加載代碼我們可以創(chuàng)建一個(gè)Postman的全局腳本雖然Postman沒有傳統(tǒng)意義上的全局腳本但我們可以通過一個(gè)變通方法將加載邏輯寫成一個(gè)函數(shù)存入另一個(gè)全局變量。更簡(jiǎn)單的做法是將加載邏輯封裝成一個(gè)可復(fù)用的代碼片段。下面是一個(gè)安全的加載函數(shù)示例你可以將其保存在一個(gè)文本編輯器中隨時(shí)復(fù)制使用// 函數(shù)安全地加載并返回smCrypto對(duì)象 const loadSmCrypto () { // 檢查是否已加載避免重復(fù)執(zhí)行eval if (typeof smCrypto ! undefined) { return smCrypto; } // 從全局變量中獲取庫(kù)源碼 const libCode pm.globals.get(smCryptoLib); if (!libCode) { throw new Error(smCrypto庫(kù)源碼未在全局變量中找到請(qǐng)檢查變量名是否為“smCryptoLib”。); } // 在一個(gè)新的函數(shù)作用域中執(zhí)行庫(kù)代碼避免污染全局環(huán)境 const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); const cryptoLib loadScript(); // 將返回的對(duì)象賦值給一個(gè)全局可訪問的變量在Postman腳本上下文中 globalThis.smCrypto cryptoLib; return cryptoLib; }; // 調(diào)用函數(shù)獲取smCrypto對(duì)象 let smCrypto; try { smCrypto loadSmCrypto(); console.log(sm-crypto庫(kù)加載成功); } catch (error) { console.error(加載sm-crypto庫(kù)失敗:, error.message); // 可以根據(jù)需要設(shè)置一個(gè)標(biāo)記讓后續(xù)邏輯不再執(zhí)行加密操作 }將上述代碼塊放在你的Pre-request Script或Tests Script的最前面。現(xiàn)在你就可以通過smCrypto.sm2smCrypto.sm3smCrypto.sm4來調(diào)用國(guó)密算法了。4. 編寫加解密函數(shù)針對(duì)AES與SM4的完整示例有了庫(kù)的支持我們就可以編寫具體的加解密函數(shù)了。這里我們分別給出AES使用內(nèi)置CryptoJS和SM4使用引入的sm-crypto的示例。4.1 AES加解密函數(shù)使用內(nèi)置CryptoJS假設(shè)場(chǎng)景AES-128-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Base64。// AES 加解密函數(shù) (使用內(nèi)置CryptoJS) /** * AES加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進(jìn)制格式的密鑰16/24/32字節(jié)對(duì)應(yīng)128/192/256位 * param {string} ivHex - 16進(jìn)制格式的初始化向量16字節(jié) * param {string} outputFormat - 輸出格式base64 或 hex默認(rèn)base64 * returns {string} 加密后的密文字符串 */ function aesEncrypt(plainText, keyHex, ivHex, outputFormat base64) { try { // CryptoJS期望的Key和IV是WordArray對(duì)象可以從Hex字符串轉(zhuǎn)換 const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 執(zhí)行加密 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 // 對(duì)于AESPkcs7即等同于Pkcs5 }); // 根據(jù)要求格式輸出 if (outputFormat.toLowerCase() hex) { return encrypted.ciphertext.toString(CryptoJS.enc.Hex); } else { // 默認(rèn)返回Base64 return encrypted.toString(); } } catch (error) { console.error(AES加密失敗:, error); throw new Error(AES加密失敗: ${error.message}); } } /** * AES解密 (CBC模式PKCS7填充) * param {string} cipherText - 待解密的密文Base64或Hex字符串 * param {string} keyHex - 16進(jìn)制格式的密鑰 * param {string} ivHex - 16進(jìn)制格式的初始化向量 * param {string} inputFormat - 輸入密文格式base64 或 hex默認(rèn)base64 * returns {string} 解密后的明文字符串 */ function aesDecrypt(cipherText, keyHex, ivHex, inputFormat base64) { try { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 根據(jù)輸入格式將密文字符串轉(zhuǎn)換為CipherParams對(duì)象 let cipherParams; if (inputFormat.toLowerCase() hex) { // 如果是Hex格式需要先還原為WordArray const ciphertextHex CryptoJS.enc.Hex.parse(cipherText); // 創(chuàng)建一個(gè)CipherParams對(duì)象CryptoJS內(nèi)部解密時(shí)需要 cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: ciphertextHex }); } else { // 對(duì)于Base64CryptoJS.enc.Base64.parse可能不直接適用使用CryptoJS.AES.decrypt本身能處理Base64字符串 // 這里直接傳遞字符串CryptoJS會(huì)識(shí)別 cipherParams cipherText; } const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }); // 將解密結(jié)果WordArray轉(zhuǎn)換為UTF-8字符串 return decrypted.toString(CryptoJS.enc.Utf8); } catch (error) { console.error(AES解密失敗:, error); throw new Error(AES解密失敗: ${error.message}); } } // 使用示例 // 假設(shè)你的密鑰和IV存儲(chǔ)在環(huán)境變量中 const aesKey pm.environment.get(AES_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex128位密鑰 const aesIv pm.environment.get(AES_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 加密示例 const originalBody { userId: 10001, action: query }; const plainText JSON.stringify(originalBody); const encryptedBodyBase64 aesEncrypt(plainText, aesKey, aesIv, base64); console.log(加密后的Body (Base64):, encryptedBodyBase64); // 將加密結(jié)果設(shè)置到請(qǐng)求Body中例如raw JSON格式但內(nèi)容是一個(gè)加密字符串 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedBodyBase64 }) // 根據(jù)后端接口要求可能直接傳密文也可能包裝在一個(gè)字段里 }); // 解密示例通常在Tests腳本中 // const responseBody pm.response.text(); // const decryptedText aesDecrypt(responseBody, aesKey, aesIv, base64); // console.log(解密后的響應(yīng):, decryptedText); // const jsonData JSON.parse(decryptedText); // pm.environment.set(decrypted_response, JSON.stringify(jsonData));4.2 SM4加解密函數(shù)使用sm-crypto假設(shè)場(chǎng)景SM4-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Hex。// 首先確保加載了sm-crypto庫(kù) // 使用第3部分定義的loadSmCrypto函數(shù) let smCrypto; try { // 假設(shè)loadSmCrypto函數(shù)已定義或直接使用前面的代碼 // 這里簡(jiǎn)化為直接調(diào)用之前定義的函數(shù) smCrypto loadSmCrypto(); // 這個(gè)函數(shù)需要提前定義或包含 if (!smCrypto) { throw new Error(smCrypto對(duì)象未加載成功); } } catch (error) { console.error(初始化sm-crypto失敗:, error); // 可以設(shè)置一個(gè)標(biāo)記阻止后續(xù)加密操作 } // SM4 加解密函數(shù) /** * SM4加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進(jìn)制格式的密鑰32位hex字符16字節(jié) * param {string} ivHex - 16進(jìn)制格式的初始化向量32位hex字符16字節(jié)ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認(rèn)cbc * param {string} outputEncoding - 輸出編碼hex 或 base64默認(rèn)hex * returns {string} 加密后的密文字符串 */ function sm4Encrypt(plainText, keyHex, ivHex , mode cbc, outputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4加密功能不可用請(qǐng)檢查sm-crypto庫(kù)是否加載成功。); } try { let encrypted; if (mode.toLowerCase() ecb) { // ECB模式不需要IV encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: ecb, outputEncoding: outputEncoding }); } else { // CBC模式需要IV if (!ivHex || ivHex.length ! 32) { // 16字節(jié) 32位hex throw new Error(CBC模式需要提供32位十六進(jìn)制字符的IV。); } encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: cbc, iv: ivHex, outputEncoding: outputEncoding }); } return encrypted; } catch (error) { console.error(SM4加密失敗:, error); throw new Error(SM4加密失敗: ${error.message}); } } /** * SM4解密 * param {string} cipherText - 待解密的密文Hex或Base64字符串 * param {string} keyHex - 16進(jìn)制格式的密鑰 * param {string} ivHex - 16進(jìn)制格式的初始化向量ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認(rèn)cbc * param {string} inputEncoding - 輸入密文編碼hex 或 base64默認(rèn)hex * returns {string} 解密后的明文字符串 */ function sm4Decrypt(cipherText, keyHex, ivHex , mode cbc, inputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4解密功能不可用請(qǐng)檢查sm-crypto庫(kù)是否加載成功。); } try { let decrypted; if (mode.toLowerCase() ecb) { decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: ecb, inputEncoding: inputEncoding }); } else { if (!ivHex || ivHex.length ! 32) { throw new Error(CBC模式需要提供32位十六進(jìn)制字符的IV。); } decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: cbc, iv: ivHex, inputEncoding: inputEncoding }); } return decrypted; } catch (error) { console.error(SM4解密失敗:, error); throw new Error(SM4解密失敗: ${error.message}); } } // SM3 哈希計(jì)算函數(shù) function sm3Hash(data) { if (!smCrypto || !smCrypto.sm3) { throw new Error(sm3哈希功能不可用請(qǐng)檢查sm-crypto庫(kù)是否加載成功。); } return smCrypto.sm3(data); // sm3函數(shù)通常直接返回16進(jìn)制哈希字符串 } // 使用示例 // 假設(shè)密鑰和IV存儲(chǔ)在環(huán)境變量中 const sm4Key pm.environment.get(SM4_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex const sm4Iv pm.environment.get(SM4_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 1. 加密請(qǐng)求體 const requestData { certNo: 110101199001011234, mobile: 13800138000 }; const plainTextForSm4 JSON.stringify(requestData); const encryptedDataHex sm4Encrypt(plainTextForSm4, sm4Key, sm4Iv, cbc, hex); console.log(SM4加密后的數(shù)據(jù) (Hex):, encryptedDataHex); // 更新請(qǐng)求體例如以表單數(shù)據(jù)或JSON格式發(fā)送 pm.request.body.update({ mode: raw, raw: JSON.stringify({ encryptedData: encryptedDataHex }) }); // 2. 計(jì)算簽名例如將某些參數(shù)排序后拼接再進(jìn)行SM3哈希 const signParams { appId: your_app_id, timestamp: Date.now().toString(), data: encryptedDataHex }; // 按參數(shù)名ASCII碼從小到大排序拼接成鍵值對(duì)字符串最后加上密鑰 const signString Object.keys(signParams).sort().map(key ${key}${signParams[key]}).join() key${sm4Key}; const signature sm3Hash(signString); console.log(生成的SM3簽名:, signature); // 將簽名放入請(qǐng)求頭 pm.request.headers.add({ key: X-Signature, value: signature }); // 3. 解密響應(yīng)在Tests腳本中 // const encryptedResponse pm.response.text(); // 假設(shè)響應(yīng)體就是Hex格式的密文 // const decryptedResponseText sm4Decrypt(encryptedResponse, sm4Key, sm4Iv, cbc, hex); // console.log(SM4解密后的響應(yīng):, decryptedResponseText); // pm.test(響應(yīng)解密成功, function () { // const jsonResp JSON.parse(decryptedResponseText); // pm.expect(jsonResp.code).to.eql(0); // });5. 構(gòu)建自動(dòng)化測(cè)試工作流變量、集合與腳本的聯(lián)動(dòng)有了基礎(chǔ)的加解密函數(shù)下一步是將其融入Postman的自動(dòng)化測(cè)試工作流實(shí)現(xiàn)真正的“一鍵測(cè)試”。5.1 利用環(huán)境變量與全局變量管理密鑰和配置永遠(yuǎn)不要將密鑰等敏感信息硬編碼在腳本里。Postman的變量系統(tǒng)是管理這些配置的最佳場(chǎng)所。環(huán)境變量Environment Variables為不同的測(cè)試環(huán)境開發(fā)、測(cè)試、預(yù)生產(chǎn)設(shè)置不同的密鑰、IV和接口地址。例如創(chuàng)建DEV環(huán)境變量SM4_KEY,SM4_IV,BASE_URL。切換到TEST環(huán)境時(shí)這些值會(huì)自動(dòng)更換。全局變量Global Variables存放一些跨環(huán)境共享的配置比如smCryptoLib庫(kù)源碼或者通用的加密函數(shù)配置如默認(rèn)的outputEncoding。集合變量Collection Variables如果一套接口都使用相同的加解密方式可以將密鑰和IV定義在集合級(jí)別該集合下的所有請(qǐng)求都可以繼承使用。在腳本中使用pm.environment.get(KEY_NAME)和pm.collectionVariables.get(KEY_NAME)來獲取這些值。5.2 在集合級(jí)別定義預(yù)請(qǐng)求腳本和測(cè)試腳本如果你有多個(gè)接口都需要相同的加解密邏輯在每個(gè)請(qǐng)求里重復(fù)寫腳本是低效的。Postman允許在集合Collection級(jí)別定義Pre-request Script和Tests Script。這些腳本會(huì)在集合內(nèi)每個(gè)請(qǐng)求的對(duì)應(yīng)階段執(zhí)行。你可以把加載加密庫(kù)的通用代碼、以及獲取基礎(chǔ)密鑰變量的邏輯放在集合的Pre-request Script中。這樣集合內(nèi)的每個(gè)請(qǐng)求腳本一運(yùn)行就已經(jīng)有了可用的加密庫(kù)和密鑰。集合級(jí)Pre-request Script示例// 集合級(jí)Pre-request Script: 初始化加密環(huán)境 console.log(運(yùn)行在集合【${pm.collection.name}】的預(yù)請(qǐng)求腳本); // 1. 加載sm-crypto庫(kù)如果用到 try { if (!globalThis.smCrypto) { const libCode pm.globals.get(smCryptoLib); if (libCode) { const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); globalThis.smCrypto loadScript(); console.log(集合級(jí)腳本sm-crypto庫(kù)加載成功。); } } } catch (error) { console.error(集合級(jí)腳本加載sm-crypto庫(kù)失敗, error); } // 2. 定義全局可用的加密函數(shù)可選也可以在每個(gè)請(qǐng)求腳本中定義 // 這里可以定義 aesEncrypt, sm4Encrypt 等函數(shù)并掛載到 globalThis 上 // 例如globalThis.myCrypto { aesEncrypt, sm4Encrypt };5.3 參數(shù)化與數(shù)據(jù)驅(qū)動(dòng)測(cè)試這是自動(dòng)化測(cè)試的精華。你可以將測(cè)試數(shù)據(jù)明文放在一個(gè)CSV或JSON文件中通過Postman的Collection Runner或Newman命令行工具來運(yùn)行。準(zhǔn)備數(shù)據(jù)文件創(chuàng)建一個(gè)CSV文件例如test_data.csv包含列testCaseId,plainJson,expectedCode。testCaseId,plainJson,expectedCode TC01,{name:張三,idCard:110101199001011234},0 TC02,{name:李四,idCard:},1001 # 身份證為空期望返回錯(cuò)誤碼1001在請(qǐng)求腳本中引用數(shù)據(jù)在Pre-request Script中使用pm.iterationData.get(plainJson)來獲取當(dāng)前迭代的測(cè)試數(shù)據(jù)。// 在請(qǐng)求的Pre-request Script中 const plainJsonString pm.iterationData.get(plainJson); const key pm.environment.get(SM4_KEY); const iv pm.environment.get(SM4_IV); // 加密數(shù)據(jù) const encryptedData sm4Encrypt(plainJsonString, key, iv, cbc, hex); // 更新請(qǐng)求體 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedData }) }); // 將期望的結(jié)果也存入環(huán)境變量供Tests腳本斷言使用 pm.environment.set(expectedCode, pm.iterationData.get(expectedCode));在Tests腳本中斷言解密響應(yīng)后使用pm.expect對(duì)解密后的業(yè)務(wù)數(shù)據(jù)進(jìn)行斷言并與pm.environment.get(expectedCode)進(jìn)行比對(duì)。// 解密響應(yīng) const encryptedResponse pm.response.text(); const decryptedText sm4Decrypt(encryptedResponse, key, iv, cbc, hex); const actualResponse JSON.parse(decryptedText); // 斷言 pm.test(業(yè)務(wù)狀態(tài)碼正確, function () { pm.expect(actualResponse.code).to.eql(parseInt(pm.environment.get(expectedCode))); }); pm.test(響應(yīng)數(shù)據(jù)解密成功, function () { pm.expect(actualResponse).to.have.property(data); });通過這種方式你只需要準(zhǔn)備好測(cè)試數(shù)據(jù)文件然后運(yùn)行集合Postman就會(huì)自動(dòng)用每一行數(shù)據(jù)去加密、發(fā)送請(qǐng)求、解密響應(yīng)并驗(yàn)證結(jié)果實(shí)現(xiàn)完全的自動(dòng)化。6. 高級(jí)技巧與疑難問題排查在實(shí)際使用中你可能會(huì)遇到一些棘手的問題。這里分享一些經(jīng)驗(yàn)和排查思路。6.1 處理GCM模式等高級(jí)加密模式AES-GCM模式在CryptoJS中可能需要特別注意。GCM模式會(huì)產(chǎn)生一個(gè)認(rèn)證標(biāo)簽Authentication Tag這個(gè)標(biāo)簽需要和密文一起傳輸給接收方用于驗(yàn)證。CryptoJS的encrypt方法在GCM模式下返回的對(duì)象結(jié)構(gòu)略有不同。function aesGcmEncrypt(plainText, keyHex, ivHex, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const additionalData CryptoJS.enc.Utf8.parse(aad); // 附加認(rèn)證數(shù)據(jù)可選 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, // GCM通常使用NoPadding additionalData: additionalData // 設(shè)置AAD }); // 密文 const ciphertextBase64 encrypted.ciphertext.toString(CryptoJS.enc.Base64); // 認(rèn)證標(biāo)簽非常重要 const authTagBase64 encrypted.tag.toString(CryptoJS.enc.Base64); return { ciphertext: ciphertextBase64, tag: authTagBase64 }; } // 發(fā)送時(shí)需要將ciphertext和tag都傳給后端通常放在JSON的不同字段里。解密時(shí)需要同時(shí)提供密文和tag。function aesGcmDecrypt(ciphertextBase64, keyHex, ivHex, authTagBase64, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const tag CryptoJS.enc.Base64.parse(authTagBase64); const additionalData CryptoJS.enc.Utf8.parse(aad); // 重組CipherParams對(duì)象必須包含ciphertext和tag const cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: CryptoJS.enc.Base64.parse(ciphertextBase64), tag: tag // 關(guān)鍵 }); const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, additionalData: additionalData }); return decrypted.toString(CryptoJS.enc.Utf8); }6.2 編碼與格式的坑Hex、Base64與字符串轉(zhuǎn)換這是加解密失敗最常見的原因之一。密鑰/IV格式確認(rèn)開發(fā)給的密鑰是Hex字符串還是Base64字符串。一個(gè)16字節(jié)的密鑰Hex表示是32個(gè)字符0-9, a-fBase64表示是24個(gè)字符末尾可能有。在代碼中要用對(duì)應(yīng)的解析方法CryptoJS.enc.Hex.parse或CryptoJS.enc.Base64.parse。密文格式加密后輸出的是什么是Hex字符串還是Base64字符串解密時(shí)輸入的格式必須匹配。sm-crypto的outputEncoding/inputEncoding參數(shù)就是用來控制這個(gè)的。字符串編碼明文在加密前通常需要是字符串。如果是JSON對(duì)象要先JSON.stringify()。解密后得到的WordArray或字符串也要用正確的編碼如CryptoJS.enc.Utf8轉(zhuǎn)回來。一個(gè)實(shí)用的調(diào)試方法用一個(gè)已知的、能正常工作的加解密工具如OpenSSL命令行、一個(gè)可靠的在線工具和你的Postman腳本用相同的密鑰、IV、明文進(jìn)行加密對(duì)比輸出的密文是否完全一致。如果不一致逐個(gè)參數(shù)檢查模式、填充、輸出格式。6.3 性能考量與腳本優(yōu)化當(dāng)測(cè)試數(shù)據(jù)量很大時(shí)在Pre-request Script中進(jìn)行復(fù)雜的加密計(jì)算可能會(huì)略微影響請(qǐng)求發(fā)送速度。雖然對(duì)于單次接口測(cè)試影響微乎其微但在數(shù)據(jù)驅(qū)動(dòng)測(cè)試的成百上千次迭代中累積起來可能可觀。緩存庫(kù)對(duì)象確保smCrypto或加密函數(shù)只被初始化一次而不是每次請(qǐng)求都重新eval庫(kù)源碼。這就是為什么我們?cè)诩夏_本或通過globalThis來緩存它。簡(jiǎn)化邏輯檢查你的腳本避免不必要的循環(huán)或復(fù)雜計(jì)算。使用Newman對(duì)于大規(guī)模的自動(dòng)化測(cè)試建議使用Postman的命令行工具Newman在服務(wù)器上運(yùn)行其性能通常優(yōu)于圖形化界面的Collection Runner。6.4 常見錯(cuò)誤與排查清單Error: Malformed UTF-8 data解密后轉(zhuǎn)換UTF-8字符串時(shí)出錯(cuò)。幾乎可以肯定是解密失敗了得到的二進(jìn)制數(shù)據(jù)根本不是有效的明文。請(qǐng)檢查密鑰、IV、模式、填充、密文格式是否全部與后端一致。Error: Invalid key length密鑰長(zhǎng)度不對(duì)。AES-128需要16字節(jié)32位HexAES-256需要32字節(jié)64位Hex。SM4固定為16字節(jié)32位Hex。檢查你的密鑰變量是否正確獲取并解析。smCrypto is not definedsm-crypto庫(kù)沒有加載成功。檢查全局變量smCryptoLib是否存在且內(nèi)容完整檢查加載代碼的eval或Function構(gòu)造是否正確在腳本開頭加console.log(pm.globals.get(smCryptoLib).substring(0,100))看看是否拿到了庫(kù)代碼的前100個(gè)字符。后端返回“解密失敗”網(wǎng)絡(luò)抓包對(duì)比用Fiddler或Charles抓取一個(gè)從客戶端如App發(fā)出的成功請(qǐng)求和你Postman發(fā)出的請(qǐng)求進(jìn)行對(duì)比。重點(diǎn)關(guān)注Body里的密文字符串是否完全一樣。日志輸出在Postman的ConsoleView - Show Postman Console中詳細(xì)打印出加密前的明文、使用的密鑰、IV、以及加密后的結(jié)果。將這些信息提供給開發(fā)讓他們用相同的參數(shù)在服務(wù)端解密看是否能成功。檢查請(qǐng)求格式密文是放在JSON的某個(gè)字段里還是直接作為Raw文本Content-Type頭是否正確如application/json無法解密響應(yīng)首先確認(rèn)響應(yīng)體確實(shí)是加密的可能是一串規(guī)律的Hex或Base64碼。有些接口錯(cuò)誤時(shí)可能返回明文錯(cuò)誤信息。先console.log(pm.response.text())看看原始響應(yīng)是什么。如果是加密的再套用解密函數(shù)。將加解密邏輯整合進(jìn)Postman雖然前期需要一些配置和腳本編寫工作但它所帶來的測(cè)試效率提升和流程標(biāo)準(zhǔn)化收益是巨大的。它使得加密接口的測(cè)試變得像測(cè)試普通明文接口一樣簡(jiǎn)單直觀特別適合在敏捷開發(fā)和持續(xù)集成流程中落地。當(dāng)你熟悉了這套模式后無論是面對(duì)AES、SM4還是其他加密算法你都能快速構(gòu)建出對(duì)應(yīng)的自動(dòng)化測(cè)試方案從容應(yīng)對(duì)各種安全接口的測(cè)試挑戰(zhàn)。 Postman自動(dòng)化接口測(cè)試：集成AES與國(guó)密SM4加解密實(shí)戰(zhàn)指南
1. 從手動(dòng)復(fù)制粘貼到自動(dòng)化為什么我們需要在Postman里處理加解密如果你經(jīng)常和需要加解密的后端接口打交道下面這個(gè)場(chǎng)景你一定不陌生開發(fā)給了你一個(gè)接口文檔上面寫著“請(qǐng)求體需用SM4加密密鑰是xxx模式是CBC填充是PKCS5Padding”。你拿到一個(gè)明文的JSON比如{idCard: 110101199001011234, name: 張三}然后你打開一個(gè)在線的加密工具網(wǎng)站或者啟動(dòng)一個(gè)本地的小腳本把明文、密鑰、IV如果有填進(jìn)去點(diǎn)擊加密得到一串長(zhǎng)長(zhǎng)的密文。接著你把這串密文小心翼翼地復(fù)制到Postman的請(qǐng)求體里發(fā)送請(qǐng)求。如果后端返回“解密失敗”你又得回到加密工具檢查是不是模式選錯(cuò)了、IV沒加、或者密鑰填錯(cuò)了再來一輪復(fù)制粘貼。這個(gè)過程繁瑣、低效且容易出錯(cuò)。當(dāng)接口參數(shù)需要?jiǎng)討B(tài)變化或者你需要用不同的測(cè)試數(shù)據(jù)批量驗(yàn)證時(shí)這種手動(dòng)操作幾乎是一場(chǎng)災(zāi)難。更麻煩的是有些接口的響應(yīng)也是加密的你收到一堆亂碼還得再手動(dòng)解密才能看到真正的業(yè)務(wù)數(shù)據(jù)是否如預(yù)期。Postman作為API測(cè)試的瑞士軍刀其核心價(jià)值在于自動(dòng)化、可重復(fù)和協(xié)作。如果加解密這個(gè)環(huán)節(jié)被隔離在外部工具中整個(gè)測(cè)試流程就出現(xiàn)了嚴(yán)重的“斷點(diǎn)”。因此將加解密邏輯內(nèi)置于Postman實(shí)現(xiàn)請(qǐng)求的自動(dòng)加密和響應(yīng)的自動(dòng)解密是提升接口測(cè)試效率和質(zhì)量的關(guān)鍵一步。這不僅僅是省去了復(fù)制粘貼的步驟更是將加解密變成了測(cè)試用例的一部分使得參數(shù)化測(cè)試、數(shù)據(jù)驅(qū)動(dòng)測(cè)試、以及CI/CD流水線中的接口自動(dòng)化測(cè)試成為可能。今天我們就來深入探討如何在Postman中借助Pre-request Script和Tests Script優(yōu)雅地處理AES、SM3、SM4這些常見的加解密算法讓我們的接口測(cè)試工作流真正流暢起來。2. 核心工具與原理Postman腳本、CryptoJS與國(guó)密算法庫(kù)要在Postman中實(shí)現(xiàn)加解密我們主要依靠?jī)蓚€(gè)核心Postman內(nèi)置的JavaScript執(zhí)行環(huán)境以及強(qiáng)大的第三方加密庫(kù)。理解這兩者是如何工作的是后續(xù)一切操作的基礎(chǔ)。2.1 Postman的腳本沙箱Pre-request與TestsPostman為每個(gè)請(qǐng)求提供了兩個(gè)關(guān)鍵的腳本執(zhí)行節(jié)點(diǎn)Pre-request Script請(qǐng)求前腳本在請(qǐng)求被發(fā)送之前運(yùn)行。這是我們實(shí)現(xiàn)請(qǐng)求參數(shù)自動(dòng)加密的主戰(zhàn)場(chǎng)。你可以在這里獲取環(huán)境變量、全局變量中的明文數(shù)據(jù)調(diào)用加密函數(shù)進(jìn)行處理然后將結(jié)果動(dòng)態(tài)設(shè)置到請(qǐng)求的URL、Params、Headers或Body中。Tests Script測(cè)試腳本在收到響應(yīng)之后運(yùn)行。傳統(tǒng)上我們用它來做斷言校驗(yàn)但它同樣可以處理響應(yīng)體的自動(dòng)解密。你可以在這里訪問pm.response.text()獲取原始的可能是加密的響應(yīng)文本調(diào)用解密函數(shù)進(jìn)行處理然后將解密后的明文存入變量供后續(xù)的斷言使用或者直接console.log輸出查看。這兩個(gè)腳本運(yùn)行在一個(gè)加強(qiáng)了功能的Node.js-like沙箱環(huán)境中它內(nèi)置了如CryptoJS這樣的常用庫(kù)但版本和功能有限也允許我們通過require方式引入外部庫(kù)。2.2 加密庫(kù)選型CryptoJS與sm-crypto對(duì)于不同的算法我們需要引入不同的庫(kù)AES加密這是最方便的。Postman沙箱環(huán)境內(nèi)置了CryptoJS庫(kù)。你可以直接使用CryptoJS.AES.encrypt和CryptoJS.AES.decrypt方法。這個(gè)內(nèi)置的CryptoJS版本通常足夠處理AES的CBC、ECB等常見模式和PKCS5/PKCS7填充。這是我們的首選方案。SM2/SM3/SM4國(guó)密算法Postman環(huán)境沒有內(nèi)置國(guó)密算法支持。我們必須通過外部引入。目前最成熟、兼容性最好的選擇是**sm-crypto**這個(gè)純JavaScript實(shí)現(xiàn)的國(guó)密算法庫(kù)。我們需要在腳本中通過require語句來加載它。這里有一個(gè)至關(guān)重要的技術(shù)細(xì)節(jié)Postman的腳本環(huán)境不支持直接從網(wǎng)絡(luò)URL如CDN動(dòng)態(tài)加載外部JS庫(kù)。你不能寫script src...。正確的做法是將目標(biāo)庫(kù)的完整源代碼以字符串的形式復(fù)制粘貼到你的腳本中然后通過eval或者構(gòu)造Function的方式來“安裝”這個(gè)庫(kù)。更優(yōu)雅和可維護(hù)的方式是利用Postman的“全局變量”或“環(huán)境變量”將庫(kù)的源碼存儲(chǔ)為一個(gè)長(zhǎng)長(zhǎng)的字符串變量然后在腳本開頭通過eval(pm.globals.get(smCryptoLibCode))這樣的方式來引入。這確保了庫(kù)代碼在所有請(qǐng)求中可復(fù)用且易于更新。2.3 算法模式與填充理解你的加密參數(shù)在開始寫代碼之前必須和開發(fā)確認(rèn)清楚加密的所有參數(shù)任何一項(xiàng)不匹配都會(huì)導(dǎo)致加解密失敗。以下是關(guān)鍵參數(shù)解析算法AES、SM4。這是根本。密鑰Key加密和解密的鑰匙。需要確認(rèn)長(zhǎng)度如AES-128/192/256對(duì)應(yīng)16/24/32字節(jié)和格式通常是Hex十六進(jìn)制字符串或Base64字符串。模式ModeECB電子密碼本模式。最簡(jiǎn)單同一密鑰下相同明文塊加密結(jié)果相同安全性較弱不推薦用于敏感數(shù)據(jù)。CBC密碼分組鏈接模式。最常用的模式之一需要初始化向量IV。IV的作用是使相同的明文每次加密產(chǎn)生不同的密文提升安全性。IV通常需要和密鑰一起提供給解密方。GCM伽羅瓦/計(jì)數(shù)器模式。這是一種認(rèn)證加密模式不僅能保密還能驗(yàn)證數(shù)據(jù)完整性防篡改。它會(huì)產(chǎn)出密文和一個(gè)認(rèn)證標(biāo)簽Auth Tag。填充Padding因?yàn)榉纸M密碼算法如AES、SM4按固定塊大小如128位處理數(shù)據(jù)明文長(zhǎng)度不是塊大小的整數(shù)倍時(shí)就需要填充。PKCS5/PKCS7最常用的填充方式。本質(zhì)上在PKCS5的上下文中對(duì)于AES這類16字節(jié)塊大小的算法PKCS5和PKCS7是等價(jià)的。NoPadding無填充。要求明文長(zhǎng)度必須是塊大小的整數(shù)倍否則會(huì)出錯(cuò)。輸出格式加密后的結(jié)果通常是一個(gè)二進(jìn)制數(shù)據(jù)CipherParams對(duì)象我們需要將其轉(zhuǎn)換為字符串以便在HTTP請(qǐng)求中傳輸。最常見的是Base64和Hex十六進(jìn)制。必須確認(rèn)后端期望哪種格式。對(duì)于SM3它是哈希算法散列函數(shù)用于生成消息摘要或簽名不可逆。通常用于計(jì)算參數(shù)的簽名Sign而非對(duì)請(qǐng)求體整體加密。3. 實(shí)戰(zhàn)配置在Postman中集成SM-Crypto庫(kù)由于AES有內(nèi)置支持我們重點(diǎn)解決國(guó)密算法的引入問題。我們將sm-crypto庫(kù)集成到Postman中。第一步獲取sm-crypto庫(kù)源碼訪問sm-crypto的GitHub倉(cāng)庫(kù)例如https://github.com/JuneAndGreen/sm-crypto或通過npm獲取其瀏覽器構(gòu)建版本如sm-crypto.min.js。我們需要的是那個(gè)獨(dú)立的、包含所有功能的單個(gè)JS文件內(nèi)容。第二步將庫(kù)源碼存入Postman全局變量在Postman中點(diǎn)擊右上角的眼睛圖標(biāo)進(jìn)入環(huán)境/全局變量管理界面。切換到“Globals”標(biāo)簽頁(yè)。點(diǎn)擊“Add”新建一個(gè)變量。變量名可以設(shè)為smCryptoLib。將sm-crypto庫(kù)的完整、單文件的JS源碼全部復(fù)制粘貼到“Initial value”和“Current value”中。這是一個(gè)非常長(zhǎng)的字符串。點(diǎn)擊“Save”保存。注意全局變量對(duì)所有工作區(qū)請(qǐng)求可見。如果你只在特定項(xiàng)目中使用也可以將其存入“環(huán)境變量”中。關(guān)鍵在于這個(gè)源碼字符串要能被腳本訪問到。第三步編寫通用的庫(kù)加載腳本為了避免在每個(gè)請(qǐng)求的Pre-request和Tests腳本中都重復(fù)寫加載代碼我們可以創(chuàng)建一個(gè)Postman的全局腳本雖然Postman沒有傳統(tǒng)意義上的全局腳本但我們可以通過一個(gè)變通方法將加載邏輯寫成一個(gè)函數(shù)存入另一個(gè)全局變量。更簡(jiǎn)單的做法是將加載邏輯封裝成一個(gè)可復(fù)用的代碼片段。下面是一個(gè)安全的加載函數(shù)示例你可以將其保存在一個(gè)文本編輯器中隨時(shí)復(fù)制使用// 函數(shù)安全地加載并返回smCrypto對(duì)象 const loadSmCrypto () { // 檢查是否已加載避免重復(fù)執(zhí)行eval if (typeof smCrypto ! undefined) { return smCrypto; } // 從全局變量中獲取庫(kù)源碼 const libCode pm.globals.get(smCryptoLib); if (!libCode) { throw new Error(smCrypto庫(kù)源碼未在全局變量中找到請(qǐng)檢查變量名是否為“smCryptoLib”。); } // 在一個(gè)新的函數(shù)作用域中執(zhí)行庫(kù)代碼避免污染全局環(huán)境 const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); const cryptoLib loadScript(); // 將返回的對(duì)象賦值給一個(gè)全局可訪問的變量在Postman腳本上下文中 globalThis.smCrypto cryptoLib; return cryptoLib; }; // 調(diào)用函數(shù)獲取smCrypto對(duì)象 let smCrypto; try { smCrypto loadSmCrypto(); console.log(sm-crypto庫(kù)加載成功); } catch (error) { console.error(加載sm-crypto庫(kù)失敗:, error.message); // 可以根據(jù)需要設(shè)置一個(gè)標(biāo)記讓后續(xù)邏輯不再執(zhí)行加密操作 }將上述代碼塊放在你的Pre-request Script或Tests Script的最前面。現(xiàn)在你就可以通過smCrypto.sm2smCrypto.sm3smCrypto.sm4來調(diào)用國(guó)密算法了。4. 編寫加解密函數(shù)針對(duì)AES與SM4的完整示例有了庫(kù)的支持我們就可以編寫具體的加解密函數(shù)了。這里我們分別給出AES使用內(nèi)置CryptoJS和SM4使用引入的sm-crypto的示例。4.1 AES加解密函數(shù)使用內(nèi)置CryptoJS假設(shè)場(chǎng)景AES-128-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Base64。// AES 加解密函數(shù) (使用內(nèi)置CryptoJS) /** * AES加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進(jìn)制格式的密鑰16/24/32字節(jié)對(duì)應(yīng)128/192/256位 * param {string} ivHex - 16進(jìn)制格式的初始化向量16字節(jié) * param {string} outputFormat - 輸出格式base64 或 hex默認(rèn)base64 * returns {string} 加密后的密文字符串 */ function aesEncrypt(plainText, keyHex, ivHex, outputFormat base64) { try { // CryptoJS期望的Key和IV是WordArray對(duì)象可以從Hex字符串轉(zhuǎn)換 const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 執(zhí)行加密 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 // 對(duì)于AESPkcs7即等同于Pkcs5 }); // 根據(jù)要求格式輸出 if (outputFormat.toLowerCase() hex) { return encrypted.ciphertext.toString(CryptoJS.enc.Hex); } else { // 默認(rèn)返回Base64 return encrypted.toString(); } } catch (error) { console.error(AES加密失敗:, error); throw new Error(AES加密失敗: ${error.message}); } } /** * AES解密 (CBC模式PKCS7填充) * param {string} cipherText - 待解密的密文Base64或Hex字符串 * param {string} keyHex - 16進(jìn)制格式的密鑰 * param {string} ivHex - 16進(jìn)制格式的初始化向量 * param {string} inputFormat - 輸入密文格式base64 或 hex默認(rèn)base64 * returns {string} 解密后的明文字符串 */ function aesDecrypt(cipherText, keyHex, ivHex, inputFormat base64) { try { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 根據(jù)輸入格式將密文字符串轉(zhuǎn)換為CipherParams對(duì)象 let cipherParams; if (inputFormat.toLowerCase() hex) { // 如果是Hex格式需要先還原為WordArray const ciphertextHex CryptoJS.enc.Hex.parse(cipherText); // 創(chuàng)建一個(gè)CipherParams對(duì)象CryptoJS內(nèi)部解密時(shí)需要 cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: ciphertextHex }); } else { // 對(duì)于Base64CryptoJS.enc.Base64.parse可能不直接適用使用CryptoJS.AES.decrypt本身能處理Base64字符串 // 這里直接傳遞字符串CryptoJS會(huì)識(shí)別 cipherParams cipherText; } const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }); // 將解密結(jié)果WordArray轉(zhuǎn)換為UTF-8字符串 return decrypted.toString(CryptoJS.enc.Utf8); } catch (error) { console.error(AES解密失敗:, error); throw new Error(AES解密失敗: ${error.message}); } } // 使用示例 // 假設(shè)你的密鑰和IV存儲(chǔ)在環(huán)境變量中 const aesKey pm.environment.get(AES_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex128位密鑰 const aesIv pm.environment.get(AES_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 加密示例 const originalBody { userId: 10001, action: query }; const plainText JSON.stringify(originalBody); const encryptedBodyBase64 aesEncrypt(plainText, aesKey, aesIv, base64); console.log(加密后的Body (Base64):, encryptedBodyBase64); // 將加密結(jié)果設(shè)置到請(qǐng)求Body中例如raw JSON格式但內(nèi)容是一個(gè)加密字符串 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedBodyBase64 }) // 根據(jù)后端接口要求可能直接傳密文也可能包裝在一個(gè)字段里 }); // 解密示例通常在Tests腳本中 // const responseBody pm.response.text(); // const decryptedText aesDecrypt(responseBody, aesKey, aesIv, base64); // console.log(解密后的響應(yīng):, decryptedText); // const jsonData JSON.parse(decryptedText); // pm.environment.set(decrypted_response, JSON.stringify(jsonData));4.2 SM4加解密函數(shù)使用sm-crypto假設(shè)場(chǎng)景SM4-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Hex。// 首先確保加載了sm-crypto庫(kù) // 使用第3部分定義的loadSmCrypto函數(shù) let smCrypto; try { // 假設(shè)loadSmCrypto函數(shù)已定義或直接使用前面的代碼 // 這里簡(jiǎn)化為直接調(diào)用之前定義的函數(shù) smCrypto loadSmCrypto(); // 這個(gè)函數(shù)需要提前定義或包含 if (!smCrypto) { throw new Error(smCrypto對(duì)象未加載成功); } } catch (error) { console.error(初始化sm-crypto失敗:, error); // 可以設(shè)置一個(gè)標(biāo)記阻止后續(xù)加密操作 } // SM4 加解密函數(shù) /** * SM4加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進(jìn)制格式的密鑰32位hex字符16字節(jié) * param {string} ivHex - 16進(jìn)制格式的初始化向量32位hex字符16字節(jié)ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認(rèn)cbc * param {string} outputEncoding - 輸出編碼hex 或 base64默認(rèn)hex * returns {string} 加密后的密文字符串 */ function sm4Encrypt(plainText, keyHex, ivHex , mode cbc, outputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4加密功能不可用請(qǐng)檢查sm-crypto庫(kù)是否加載成功。); } try { let encrypted; if (mode.toLowerCase() ecb) { // ECB模式不需要IV encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: ecb, outputEncoding: outputEncoding }); } else { // CBC模式需要IV if (!ivHex || ivHex.length ! 32) { // 16字節(jié) 32位hex throw new Error(CBC模式需要提供32位十六進(jìn)制字符的IV。); } encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: cbc, iv: ivHex, outputEncoding: outputEncoding }); } return encrypted; } catch (error) { console.error(SM4加密失敗:, error); throw new Error(SM4加密失敗: ${error.message}); } } /** * SM4解密 * param {string} cipherText - 待解密的密文Hex或Base64字符串 * param {string} keyHex - 16進(jìn)制格式的密鑰 * param {string} ivHex - 16進(jìn)制格式的初始化向量ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認(rèn)cbc * param {string} inputEncoding - 輸入密文編碼hex 或 base64默認(rèn)hex * returns {string} 解密后的明文字符串 */ function sm4Decrypt(cipherText, keyHex, ivHex , mode cbc, inputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4解密功能不可用請(qǐng)檢查sm-crypto庫(kù)是否加載成功。); } try { let decrypted; if (mode.toLowerCase() ecb) { decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: ecb, inputEncoding: inputEncoding }); } else { if (!ivHex || ivHex.length ! 32) { throw new Error(CBC模式需要提供32位十六進(jìn)制字符的IV。); } decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: cbc, iv: ivHex, inputEncoding: inputEncoding }); } return decrypted; } catch (error) { console.error(SM4解密失敗:, error); throw new Error(SM4解密失敗: ${error.message}); } } // SM3 哈希計(jì)算函數(shù) function sm3Hash(data) { if (!smCrypto || !smCrypto.sm3) { throw new Error(sm3哈希功能不可用請(qǐng)檢查sm-crypto庫(kù)是否加載成功。); } return smCrypto.sm3(data); // sm3函數(shù)通常直接返回16進(jìn)制哈希字符串 } // 使用示例 // 假設(shè)密鑰和IV存儲(chǔ)在環(huán)境變量中 const sm4Key pm.environment.get(SM4_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex const sm4Iv pm.environment.get(SM4_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 1. 加密請(qǐng)求體 const requestData { certNo: 110101199001011234, mobile: 13800138000 }; const plainTextForSm4 JSON.stringify(requestData); const encryptedDataHex sm4Encrypt(plainTextForSm4, sm4Key, sm4Iv, cbc, hex); console.log(SM4加密后的數(shù)據(jù) (Hex):, encryptedDataHex); // 更新請(qǐng)求體例如以表單數(shù)據(jù)或JSON格式發(fā)送 pm.request.body.update({ mode: raw, raw: JSON.stringify({ encryptedData: encryptedDataHex }) }); // 2. 計(jì)算簽名例如將某些參數(shù)排序后拼接再進(jìn)行SM3哈希 const signParams { appId: your_app_id, timestamp: Date.now().toString(), data: encryptedDataHex }; // 按參數(shù)名ASCII碼從小到大排序拼接成鍵值對(duì)字符串最后加上密鑰 const signString Object.keys(signParams).sort().map(key ${key}${signParams[key]}).join() key${sm4Key}; const signature sm3Hash(signString); console.log(生成的SM3簽名:, signature); // 將簽名放入請(qǐng)求頭 pm.request.headers.add({ key: X-Signature, value: signature }); // 3. 解密響應(yīng)在Tests腳本中 // const encryptedResponse pm.response.text(); // 假設(shè)響應(yīng)體就是Hex格式的密文 // const decryptedResponseText sm4Decrypt(encryptedResponse, sm4Key, sm4Iv, cbc, hex); // console.log(SM4解密后的響應(yīng):, decryptedResponseText); // pm.test(響應(yīng)解密成功, function () { // const jsonResp JSON.parse(decryptedResponseText); // pm.expect(jsonResp.code).to.eql(0); // });5. 構(gòu)建自動(dòng)化測(cè)試工作流變量、集合與腳本的聯(lián)動(dòng)有了基礎(chǔ)的加解密函數(shù)下一步是將其融入Postman的自動(dòng)化測(cè)試工作流實(shí)現(xiàn)真正的“一鍵測(cè)試”。5.1 利用環(huán)境變量與全局變量管理密鑰和配置永遠(yuǎn)不要將密鑰等敏感信息硬編碼在腳本里。Postman的變量系統(tǒng)是管理這些配置的最佳場(chǎng)所。環(huán)境變量Environment Variables為不同的測(cè)試環(huán)境開發(fā)、測(cè)試、預(yù)生產(chǎn)設(shè)置不同的密鑰、IV和接口地址。例如創(chuàng)建DEV環(huán)境變量SM4_KEY,SM4_IV,BASE_URL。切換到TEST環(huán)境時(shí)這些值會(huì)自動(dòng)更換。全局變量Global Variables存放一些跨環(huán)境共享的配置比如smCryptoLib庫(kù)源碼或者通用的加密函數(shù)配置如默認(rèn)的outputEncoding。集合變量Collection Variables如果一套接口都使用相同的加解密方式可以將密鑰和IV定義在集合級(jí)別該集合下的所有請(qǐng)求都可以繼承使用。在腳本中使用pm.environment.get(KEY_NAME)和pm.collectionVariables.get(KEY_NAME)來獲取這些值。5.2 在集合級(jí)別定義預(yù)請(qǐng)求腳本和測(cè)試腳本如果你有多個(gè)接口都需要相同的加解密邏輯在每個(gè)請(qǐng)求里重復(fù)寫腳本是低效的。Postman允許在集合Collection級(jí)別定義Pre-request Script和Tests Script。這些腳本會(huì)在集合內(nèi)每個(gè)請(qǐng)求的對(duì)應(yīng)階段執(zhí)行。你可以把加載加密庫(kù)的通用代碼、以及獲取基礎(chǔ)密鑰變量的邏輯放在集合的Pre-request Script中。這樣集合內(nèi)的每個(gè)請(qǐng)求腳本一運(yùn)行就已經(jīng)有了可用的加密庫(kù)和密鑰。集合級(jí)Pre-request Script示例// 集合級(jí)Pre-request Script: 初始化加密環(huán)境 console.log(運(yùn)行在集合【${pm.collection.name}】的預(yù)請(qǐng)求腳本); // 1. 加載sm-crypto庫(kù)如果用到 try { if (!globalThis.smCrypto) { const libCode pm.globals.get(smCryptoLib); if (libCode) { const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); globalThis.smCrypto loadScript(); console.log(集合級(jí)腳本sm-crypto庫(kù)加載成功。); } } } catch (error) { console.error(集合級(jí)腳本加載sm-crypto庫(kù)失敗, error); } // 2. 定義全局可用的加密函數(shù)可選也可以在每個(gè)請(qǐng)求腳本中定義 // 這里可以定義 aesEncrypt, sm4Encrypt 等函數(shù)并掛載到 globalThis 上 // 例如globalThis.myCrypto { aesEncrypt, sm4Encrypt };5.3 參數(shù)化與數(shù)據(jù)驅(qū)動(dòng)測(cè)試這是自動(dòng)化測(cè)試的精華。你可以將測(cè)試數(shù)據(jù)明文放在一個(gè)CSV或JSON文件中通過Postman的Collection Runner或Newman命令行工具來運(yùn)行。準(zhǔn)備數(shù)據(jù)文件創(chuàng)建一個(gè)CSV文件例如test_data.csv包含列testCaseId,plainJson,expectedCode。testCaseId,plainJson,expectedCode TC01,{name:張三,idCard:110101199001011234},0 TC02,{name:李四,idCard:},1001 # 身份證為空期望返回錯(cuò)誤碼1001在請(qǐng)求腳本中引用數(shù)據(jù)在Pre-request Script中使用pm.iterationData.get(plainJson)來獲取當(dāng)前迭代的測(cè)試數(shù)據(jù)。// 在請(qǐng)求的Pre-request Script中 const plainJsonString pm.iterationData.get(plainJson); const key pm.environment.get(SM4_KEY); const iv pm.environment.get(SM4_IV); // 加密數(shù)據(jù) const encryptedData sm4Encrypt(plainJsonString, key, iv, cbc, hex); // 更新請(qǐng)求體 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedData }) }); // 將期望的結(jié)果也存入環(huán)境變量供Tests腳本斷言使用 pm.environment.set(expectedCode, pm.iterationData.get(expectedCode));在Tests腳本中斷言解密響應(yīng)后使用pm.expect對(duì)解密后的業(yè)務(wù)數(shù)據(jù)進(jìn)行斷言并與pm.environment.get(expectedCode)進(jìn)行比對(duì)。// 解密響應(yīng) const encryptedResponse pm.response.text(); const decryptedText sm4Decrypt(encryptedResponse, key, iv, cbc, hex); const actualResponse JSON.parse(decryptedText); // 斷言 pm.test(業(yè)務(wù)狀態(tài)碼正確, function () { pm.expect(actualResponse.code).to.eql(parseInt(pm.environment.get(expectedCode))); }); pm.test(響應(yīng)數(shù)據(jù)解密成功, function () { pm.expect(actualResponse).to.have.property(data); });通過這種方式你只需要準(zhǔn)備好測(cè)試數(shù)據(jù)文件然后運(yùn)行集合Postman就會(huì)自動(dòng)用每一行數(shù)據(jù)去加密、發(fā)送請(qǐng)求、解密響應(yīng)并驗(yàn)證結(jié)果實(shí)現(xiàn)完全的自動(dòng)化。6. 高級(jí)技巧與疑難問題排查在實(shí)際使用中你可能會(huì)遇到一些棘手的問題。這里分享一些經(jīng)驗(yàn)和排查思路。6.1 處理GCM模式等高級(jí)加密模式AES-GCM模式在CryptoJS中可能需要特別注意。GCM模式會(huì)產(chǎn)生一個(gè)認(rèn)證標(biāo)簽Authentication Tag這個(gè)標(biāo)簽需要和密文一起傳輸給接收方用于驗(yàn)證。CryptoJS的encrypt方法在GCM模式下返回的對(duì)象結(jié)構(gòu)略有不同。function aesGcmEncrypt(plainText, keyHex, ivHex, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const additionalData CryptoJS.enc.Utf8.parse(aad); // 附加認(rèn)證數(shù)據(jù)可選 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, // GCM通常使用NoPadding additionalData: additionalData // 設(shè)置AAD }); // 密文 const ciphertextBase64 encrypted.ciphertext.toString(CryptoJS.enc.Base64); // 認(rèn)證標(biāo)簽非常重要 const authTagBase64 encrypted.tag.toString(CryptoJS.enc.Base64); return { ciphertext: ciphertextBase64, tag: authTagBase64 }; } // 發(fā)送時(shí)需要將ciphertext和tag都傳給后端通常放在JSON的不同字段里。解密時(shí)需要同時(shí)提供密文和tag。function aesGcmDecrypt(ciphertextBase64, keyHex, ivHex, authTagBase64, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const tag CryptoJS.enc.Base64.parse(authTagBase64); const additionalData CryptoJS.enc.Utf8.parse(aad); // 重組CipherParams對(duì)象必須包含ciphertext和tag const cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: CryptoJS.enc.Base64.parse(ciphertextBase64), tag: tag // 關(guān)鍵 }); const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, additionalData: additionalData }); return decrypted.toString(CryptoJS.enc.Utf8); }6.2 編碼與格式的坑Hex、Base64與字符串轉(zhuǎn)換這是加解密失敗最常見的原因之一。密鑰/IV格式確認(rèn)開發(fā)給的密鑰是Hex字符串還是Base64字符串。一個(gè)16字節(jié)的密鑰Hex表示是32個(gè)字符0-9, a-fBase64表示是24個(gè)字符末尾可能有。在代碼中要用對(duì)應(yīng)的解析方法CryptoJS.enc.Hex.parse或CryptoJS.enc.Base64.parse。密文格式加密后輸出的是什么是Hex字符串還是Base64字符串解密時(shí)輸入的格式必須匹配。sm-crypto的outputEncoding/inputEncoding參數(shù)就是用來控制這個(gè)的。字符串編碼明文在加密前通常需要是字符串。如果是JSON對(duì)象要先JSON.stringify()。解密后得到的WordArray或字符串也要用正確的編碼如CryptoJS.enc.Utf8轉(zhuǎn)回來。一個(gè)實(shí)用的調(diào)試方法用一個(gè)已知的、能正常工作的加解密工具如OpenSSL命令行、一個(gè)可靠的在線工具和你的Postman腳本用相同的密鑰、IV、明文進(jìn)行加密對(duì)比輸出的密文是否完全一致。如果不一致逐個(gè)參數(shù)檢查模式、填充、輸出格式。6.3 性能考量與腳本優(yōu)化當(dāng)測(cè)試數(shù)據(jù)量很大時(shí)在Pre-request Script中進(jìn)行復(fù)雜的加密計(jì)算可能會(huì)略微影響請(qǐng)求發(fā)送速度。雖然對(duì)于單次接口測(cè)試影響微乎其微但在數(shù)據(jù)驅(qū)動(dòng)測(cè)試的成百上千次迭代中累積起來可能可觀。緩存庫(kù)對(duì)象確保smCrypto或加密函數(shù)只被初始化一次而不是每次請(qǐng)求都重新eval庫(kù)源碼。這就是為什么我們?cè)诩夏_本或通過globalThis來緩存它。簡(jiǎn)化邏輯檢查你的腳本避免不必要的循環(huán)或復(fù)雜計(jì)算。使用Newman對(duì)于大規(guī)模的自動(dòng)化測(cè)試建議使用Postman的命令行工具Newman在服務(wù)器上運(yùn)行其性能通常優(yōu)于圖形化界面的Collection Runner。6.4 常見錯(cuò)誤與排查清單Error: Malformed UTF-8 data解密后轉(zhuǎn)換UTF-8字符串時(shí)出錯(cuò)。幾乎可以肯定是解密失敗了得到的二進(jìn)制數(shù)據(jù)根本不是有效的明文。請(qǐng)檢查密鑰、IV、模式、填充、密文格式是否全部與后端一致。Error: Invalid key length密鑰長(zhǎng)度不對(duì)。AES-128需要16字節(jié)32位HexAES-256需要32字節(jié)64位Hex。SM4固定為16字節(jié)32位Hex。檢查你的密鑰變量是否正確獲取并解析。smCrypto is not definedsm-crypto庫(kù)沒有加載成功。檢查全局變量smCryptoLib是否存在且內(nèi)容完整檢查加載代碼的eval或Function構(gòu)造是否正確在腳本開頭加console.log(pm.globals.get(smCryptoLib).substring(0,100))看看是否拿到了庫(kù)代碼的前100個(gè)字符。后端返回“解密失敗”網(wǎng)絡(luò)抓包對(duì)比用Fiddler或Charles抓取一個(gè)從客戶端如App發(fā)出的成功請(qǐng)求和你Postman發(fā)出的請(qǐng)求進(jìn)行對(duì)比。重點(diǎn)關(guān)注Body里的密文字符串是否完全一樣。日志輸出在Postman的ConsoleView - Show Postman Console中詳細(xì)打印出加密前的明文、使用的密鑰、IV、以及加密后的結(jié)果。將這些信息提供給開發(fā)讓他們用相同的參數(shù)在服務(wù)端解密看是否能成功。檢查請(qǐng)求格式密文是放在JSON的某個(gè)字段里還是直接作為Raw文本Content-Type頭是否正確如application/json無法解密響應(yīng)首先確認(rèn)響應(yīng)體確實(shí)是加密的可能是一串規(guī)律的Hex或Base64碼。有些接口錯(cuò)誤時(shí)可能返回明文錯(cuò)誤信息。先console.log(pm.response.text())看看原始響應(yīng)是什么。如果是加密的再套用解密函數(shù)。將加解密邏輯整合進(jìn)Postman雖然前期需要一些配置和腳本編寫工作但它所帶來的測(cè)試效率提升和流程標(biāo)準(zhǔn)化收益是巨大的。它使得加密接口的測(cè)試變得像測(cè)試普通明文接口一樣簡(jiǎn)單直觀特別適合在敏捷開發(fā)和持續(xù)集成流程中落地。當(dāng)你熟悉了這套模式后無論是面對(duì)AES、SM4還是其他加密算法你都能快速構(gòu)建出對(duì)應(yīng)的自動(dòng)化測(cè)試方案從容應(yīng)對(duì)各種安全接口的測(cè)試挑戰(zhàn)。