postman之接口参数签名(js接口HMAC-SHA256签名)

文章目录

  • postman之接口参数签名(js接口签名)
    • 一、需求背景
    • 二、签名生成规则
    • 三、postman js接口签名步骤
      • 1. postman设置全局、或环境参数
      • 2. 配置Pre-request Scripts脚本
    • 四、Pre-request Scripts脚本 常见工作整理
      • 1. js获取unix时间戳
      • 2. body json字符串进行md5运算
      • 3. JS字符串拼接
      • 4. 哈希签名 HMAC-SHA256
        • 使用CryptoJS的hmac
      • 5. PostMan 在请求中自动添加Header
      • 6. 使用PM对象访问与操作请求参数(pm.request.*)
      • 7. JS字符串拼接/连接
      • 8. JavaScript判断变量是否为空
    • 参考

postman之接口参数签名(js接口签名)

一、需求背景

在对外发布的接口中,基本上都会涉及到对接口字段进行签名加密,以防篡改。

后端接口为了避免参数被篡改,有参数签名的校验,为方便使用postman测试接口,可在postman设置自动签名。

Postman每发起一个请求之前,都可以选择执行一段pre-request script。这恰恰给了我们机会在请求发起之前生成我们需要的数据。

二、签名生成规则

不同项目签名规则不同。不过核心思路就是把你的请求需要防止篡改的部分进行HMAC-SHA256签名。

例如如下的待签名数据,使用 | 分隔 拼接你将来要签名的数据

method|url|timestamp|appKey|MD5(body)

三、postman js接口签名步骤

1. postman设置全局、或环境参数

postman 配置全局参数,设置 appKey、appSecret等全局参数
postman之接口参数签名(js接口HMAC-SHA256签名)_第1张图片postman之接口参数签名(js接口HMAC-SHA256签名)_第2张图片

2. 配置Pre-request Scripts脚本

postman关键pre-script官方文档:https://learning.postman.com/docs/writing-scripts/script-references/postman-sandbox-api-reference/#scripting-with-request-info

配置脚本,编辑collection,选择Pre-request Scripts,输入脚本
完成以下能力

  • 获取签名参数
  • 生成签名
  • 赋值到指定heaher中

demo1:

var appKey = pm.environment.get("appKey");
var appSecret = pm.environment.get("appSecret");
var queryParam = pm.request.url.query.members;
var timestamp = new Date().getTime();
 
let param = JSON.parse("{}");
 
for (let i in queryParam){
    param[queryParam[i].key] = queryParam[i].value;
}
param['timestamp'] = timestamp;
var keys = [];
for (let k in param){
    if (k == 'sign'){
        continue;
    }
    keys.push(k);
}
//排序
keys.sort();
 
//取value
var sign = '';
sign = sign + appSecret;
for (let k of keys){
    sign = sign+ (k + '' + encodeURIComponent(param[k]));
}
sign = sign+appSecret;
console.log(sign);
sign = CryptoJS.MD5(sign).toString();
console.log(sign);
pm.environment.set('sign',sign);
pm.environment.set('timestamp',timestamp);
pm.environment.set('appKey',encodeURIComponent(appKey));
//获取url的path部分
getUrlRelativePath:function(url){
    var arrUrl = url.split("//");
    var start = arrUrl[1].indexOf("/");
    var end=arrUrl[1].indexOf("?");
    var relUrl = arrUrl[1].substring(start,end);//stop省略,截取从start开始到结尾的所有字符
    console.log(relUrl);
    return relUrl;
}

demo2:

var appKey = pm.environment.get("appKey");
var appSecret = pm.environment.get("appSecret");


var method = pm.request.method
console.log('method:', method)

var url = pm.request.url.getPath()
console.log('url:', url)

var queryParam = pm.request.url.query.members;
console.log('queryParam:', queryParam)

// js获取unix时间戳 getTime()返回数值的单位是毫秒
var timestamp = new Date().getTime();
console.log('timestamp:', timestamp)


var body = pm.request.body.raw;
console.log('body:', body)

var bodyMd5= CryptoJS.MD5(body).toString();
console.log('bodyMd5:', bodyMd5)


// // 序列化
// var json="";
// try {
//   json = JSON.parse(body); //序列化JSON BODY
//   param = json;
// }catch(err){
//   //BODY不是JSON格式
//   console.log("json data error");
// }
// console.log(json);

// var jsonStringify = JSON.stringify(param).toString();
// console.log('jsonStringify:',jsonStringify);

// var bodyStrMd5= CryptoJS.MD5(jsonStringify).toString();
// console.log('bodyStrMd5:', bodyStrMd5)

tonce = new Date().getTime() * 1000
console.log('tonce:', tonce)

//method|url|tonce|accesskey|other|MD5(body)
var signatureRawData = `${method}|${url}|${tonce}|${appKey}|${bodyMd5}`
console.log('signatureRawData:', signatureRawData)



//生成哈希签名
var signature = CryptoJS.enc.Utf8.parse(signatureRawData);
//var secret_bytes = CryptoJS.enc.Base64.parse(appSecret);
var secret_bytes = CryptoJS.enc.Utf8.parse(appSecret);

var signatureBytes = CryptoJS.HmacSHA256(signature,secret_bytes)
console.log('signatureBytes:', signatureBytes)
var signStr = signatureBytes.toString()
console.log('signStr:', signStr)

var signatureRawData = `${method}|${url}|${tonce}|${appKey}|${bodyMd5}`

//认证头编码创建
var authorizationStr = `${appKey}:${signStr}`
console.log('authorizationStr:', authorizationStr)


var requestSignatureBase64String = CryptoJS.enc.Base64.stringify(CryptoJS.enc.Utf8.parse(authorizationStr));
console.log('requestSignatureBase64String:', requestSignatureBase64String)

//设置到postman环境变量中,postman  hearder引入该变量
pm.environment.set("signature",requestSignatureBase64String)

pm.request.headers.add({
    key: 'Authorization',
    value: requestSignatureBase64String
});

pm.request.headers.add({
    key: 'tonce',
    value: tonce
});

四、Pre-request Scripts脚本 常见工作整理

1. js获取unix时间戳

如何在 JavaScript 中获取 UNIX 时间戳
参考URL: https://blog.csdn.net/allway2/article/details/122558429

UNIX 时间戳是一个整数值,表示自UNIX 纪元于 1970 年 1 月 1 日 00:00:00 UTC以来经过的秒数。简而言之,这是一种将时间跟踪为运行总秒数的方法。因此,UNIX 时间戳只是特定日期和 UNIX 纪元之间的秒数。

JavaScriptDate对象提供了几种处理日期和时间的方法。now()您可以通过调用对象上的函数来获取当前时间戳,Date如下所示:

const timestamp = new Date().getTime()

此方法以毫秒为单位返回当前的 UTC 时间戳。

getTime()返回数值的单位是毫秒

微秒级时间戳,我们这里直接乘以1000,因为js找不到获取微秒级的方法,谁知道可以评论区留言。这里我们乘以1000凑成微秒级的位数。

2. body json字符串进行md5运算

CryptoJS是一个前端加密的JS库,它可以进行MD5,AES等进行加密
这边直接使用CryptoJS.MD5即可

var body=pm.request.body.raw;

// 序列化
var json="";
try {
  json = JSON.parse(body); //序列化JSON BODY
  param = json;
}catch(err){
  //BODY不是JSON格式
  console.log("json data error");
}
console.log(json);

var jsonStr = JSON.stringify(param).toString();
sign = CryptoJS.MD5(jsonStr).toString();

这里是对body的json解析出来后,然后 JSON.stringify 处理后,进行md5.

当然你也可以直接对body的原始内容,进行md5

var body=pm.request.body.raw;
sign = CryptoJS.MD5(body).toString();

3. JS字符串拼接

JS字符串拼接的几种方式
参考URL: https://huaweicloud.csdn.net/63a568aeb878a54545946b76.html

在 JavaScript 中,使用字符串连接有 几 种方式:连接符(+)、反引号(`)、join()、concat()。

  • 使用模板字符串,以反引号( ` )标识

ES6中新增的字符串方法,可以配合反单引号完成拼接字符串的功能

反单引号怎么打出来:将输入法调整为英文输入法,单击键盘上数字键1左边的按键。

用法:

1: 定义需要拼接进去的字符串变量

2: 将字符串变量用${}包起来,再写到需要拼接的地方

let a = 'java'
let b = `hello ${a}script`

接口签名demo:
对如下数据进行拼接,将来进行签名。

method|url|timestamp|appKey|MD5(body)
var sign = `${method}|${url}|${timestamp}|${appKey}|${bodyMd5}`

4. 哈希签名 HMAC-SHA256

HMAC是密钥相关的哈希运算消息认证码(Hash-based Message Authentication Code)的缩写,由H.Krawezyk,M.Bellare,R.Canetti于1996年提出的一种基于Hash函数和密钥进行消息认证的方法, 并于1997年作为RFC2104被公布,并在IPSec和其他网络协议(如SSL)中得以广泛应用,现在已经成为事实上的Internet安全标准。它可以与任何迭代散列函数捆绑使用。

HMAC算法利用哈希运算,以一个密钥和一个消息为输入,生成一个消息摘要作为输出。

使用SHA-1、SHA-224、SHA-256、SHA-384、SHA-512所构造的HMAC,分别称为HMAC-SHA1、HMAC-SHA-224、HMAC-SHA-256、HMAC-SHA-384、HMAC-SHA-512。

postman的脚本库中CryptoJS是支持各种算法的加密,包括HMACSHA256。
CryptoJS 是一个使用 JavaScript 实现的加密算法库
它支持的算法包含:

  • Base64
  • MD5
  • SHA-1 和 SHA-256
  • AES
  • Rabbit
  • MARC4
  • HMAC、HMAC-MD5、HMAC-SHA1、HMAC-SHA256
  • PBKDF2

demo例子:

var signature = CryptoJS.enc.Utf8.parse(signatureRawData);
//var secret_bytes = CryptoJS.enc.Base64.parse(appSecret);
var secret_bytes = CryptoJS.enc.Utf8.parse(appSecret);

var signatureBytes = CryptoJS.HmacSHA256(signature,secret_bytes)
console.log('signatureBytes:', signatureBytes)
var signStr = signatureBytes.toString()
console.log('signStr:', signStr)

var requestSignatureBase64String = CryptoJS.enc.Base64.stringify(CryptoJS.enc.Utf8.parse(signStr));
console.log('requestSignatureBase64String:', requestSignatureBase64String)

总结:
HmacSHA256加密,var hash = CryptoJS.HmacSHA256(str, secret);
base64编码,var hashInBase64 = CryptoJS.enc.Base64.stringify(CryptoJS.enc.Utf8.parse(hash));

使用CryptoJS的hmac

CryptoJS官方文档:https://cryptojs.gitbook.io/docs/#encoders

使用secretkey利用HMAC生成哈希签名。使用SHA256作为哈希算法

  • CryptoJS.enc.Utf8.parse 把字符串转成UTF8编码

您不能简单地将字节发送到JavaScript。您需要将其转换为文本表示形式,以使其具有可比性。python的hmac模块和CryptoJS都支持十六进制编码。

CryptoJS:

CryptoJS.HmacSHA256(“test”, “secret”).toString(CryptoJS.enc.Hex)

python:

hmac.new(“secret”, “test”, hashlib.sha256).hexdigest()

注意参数顺序的差异。

两者都产生

0329a06b62cd16b33eb6792be8c60b158d89a2ee3a876fce9a881ebb488c0914

5. PostMan 在请求中自动添加Header

你可以再postman 的console看到发送的请求的header中添加了你的这里添加的header内容。

// 添加新 header
pm.request.headers.add({
    key: 'Accept-Encoding',
    value: 'gzip'
});

// 添加或修改已存在 header
pm.request.headers.upsert({
    key: 'Connection',
    value: 'close'
});

// 移除 header
pm.request.headers.remove('User-Agent')

网上demo,这种方式,我们之间就在header中添加了这个 header,不用再到具体的接口header中添加环境变量(如下图),也是很方便。

postman之接口参数签名(js接口HMAC-SHA256签名)_第3张图片
postman之接口参数签名(js接口HMAC-SHA256签名)_第4张图片

6. 使用PM对象访问与操作请求参数(pm.request.*)

Postman进阶篇(十一)-在脚本中使用pm对象访问接口请求(pm.request.*)
参考URL: https://betheme.net/qianduan/44100.html?action=onClick

pm.request 对象可以在脚本中对请求数据进行访问。

接口请求的URL
pm.request.url //接口URL
通过URL对象对接口URL进行访问和操作

//返回url对象
var url = pm.request.url
console.log('url:', url)

//通过URL对象对接口URL进行访问和操作
//返回请求路径:
var path = pm.request.url.getPath()
console.log('path:', path)

var path_with_query = pm.request.url.getPathWithQuery()
console.log('path_with_query:', path_with_query)

//以字符串格式,返回查询参数
var query_string = pm.request.url.getQueryString()
console.log('query_string:', query_string)

//返回主机和端口,用“:”分隔
var remote = pm.request.url.getRemote()
console.log('remote:', remote)

postman之接口参数签名(js接口HMAC-SHA256签名)_第5张图片
执行结果:
postman之接口参数签名(js接口HMAC-SHA256签名)_第6张图片

7. JS字符串拼接/连接

在 JavaScript 中,使用字符串连接有 3 种方式。

  1. 字符串连接运算符“+”
  2. 字符串的concat()方法
var s1 = "abc";
var s2 = s1.concat("d" , "e" , "f");  //调用concat()连接字符串
console.log(s2);  //返回字符串“abcdef”
  1. 数组的join()方法
    join 的好处在于,你可以自定义组合数组元素的方式。你可以通过在其参数中传递分隔符来实现。
arrayObject.join(separator);

8. JavaScript判断变量是否为空

JavaScript判断变量是否为空
参考URL: http://aihongxin.com/791.html

JavaScript五种原始类型(boolean、number、string、null、undefined)
分别为 undefined,null,false,“”,0,

JavaScript本身没有判断一个变量是不是空值的函数,因为变量有可能是string,object,number,boolean等类型,类型不同,判断方法也不同。

写了一个函数,用以判断JS变量是否空值,如果是undefined、 null、‘’、 NaN、false、0、[]、{} 、空白字符串,都返回true,否则返回false。

function isEmpty(v) {
    switch (typeof v) {
    case 'undefined':
        return true;
    case 'string':
        if (v.replace(/(^[ \t\n\r]*)|([ \t\n\r]*$)/g, '').length == 0) return true;
        break;
    case 'boolean':
        if (!v) return true;
        break;
    case 'number':
        if (0 === v || isNaN(v)) return true;
        break;
    case 'object':
        if (null === v || v.length === 0) return true;
        for (var i in v) {
            return false;
        }
        return true;
    }
    return false;
}

参考

postman自动化接口测试
参考URL: https://zhuanlan.zhihu.com/p/158732164
Postman调试技巧之接口签名
参考URL: https://juejin.cn/post/6844903636649115655
postman 配置参数自动签名
参考URL: https://blog.csdn.net/qq_28058443/article/details/120704523
JSAPI签权
参考URL: http://www.javashuo.com/article/p-ubvsvhgx-bc.html
postman系列之接口参数签名
参考URL: https://blog.csdn.net/henglin/article/details/119621767

你可能感兴趣的:(#,开发工具,postman,javascript,lua)