指南)
1. 從手動復(fù)制粘貼到自動化為什么我們需要在Postman里處理加解密如果你經(jīng)常和需要加解密的后端接口打交道下面這個場景你一定不陌生開發(fā)給了你一個接口文檔上面寫著“請求體需用SM4加密密鑰是xxx模式是CBC填充是PKCS5Padding”。你拿到一個明文的JSON比如{idCard: 110101199001011234, name: 張三}然后你打開一個在線的加密工具網(wǎng)站或者啟動一個本地的小腳本把明文、密鑰、IV如果有填進去點擊加密得到一串長長的密文。接著你把這串密文小心翼翼地復(fù)制到Postman的請求體里發(fā)送請求。如果后端返回“解密失敗”你又得回到加密工具檢查是不是模式選錯了、IV沒加、或者密鑰填錯了再來一輪復(fù)制粘貼。這個過程繁瑣、低效且容易出錯。當(dāng)接口參數(shù)需要動態(tài)變化或者你需要用不同的測試數(shù)據(jù)批量驗證時這種手動操作幾乎是一場災(zāi)難。更麻煩的是有些接口的響應(yīng)也是加密的你收到一堆亂碼還得再手動解密才能看到真正的業(yè)務(wù)數(shù)據(jù)是否如預(yù)期。Postman作為API測試的瑞士軍刀其核心價值在于自動化、可重復(fù)和協(xié)作。如果加解密這個環(huán)節(jié)被隔離在外部工具中整個測試流程就出現(xiàn)了嚴(yán)重的“斷點”。因此將加解密邏輯內(nèi)置于Postman實現(xiàn)請求的自動加密和響應(yīng)的自動解密是提升接口測試效率和質(zhì)量的關(guān)鍵一步。這不僅僅是省去了復(fù)制粘貼的步驟更是將加解密變成了測試用例的一部分使得參數(shù)化測試、數(shù)據(jù)驅(qū)動測試、以及CI/CD流水線中的接口自動化測試成為可能。今天我們就來深入探討如何在Postman中借助Pre-request Script和Tests Script優(yōu)雅地處理AES、SM3、SM4這些常見的加解密算法讓我們的接口測試工作流真正流暢起來。2. 核心工具與原理Postman腳本、CryptoJS與國密算法庫要在Postman中實現(xiàn)加解密我們主要依靠兩個核心Postman內(nèi)置的JavaScript執(zhí)行環(huán)境以及強大的第三方加密庫。理解這兩者是如何工作的是后續(xù)一切操作的基礎(chǔ)。2.1 Postman的腳本沙箱Pre-request與TestsPostman為每個請求提供了兩個關(guān)鍵的腳本執(zhí)行節(jié)點Pre-request Script請求前腳本在請求被發(fā)送之前運行。這是我們實現(xiàn)請求參數(shù)自動加密的主戰(zhàn)場。你可以在這里獲取環(huán)境變量、全局變量中的明文數(shù)據(jù)調(diào)用加密函數(shù)進行處理然后將結(jié)果動態(tài)設(shè)置到請求的URL、Params、Headers或Body中。Tests Script測試腳本在收到響應(yīng)之后運行。傳統(tǒng)上我們用它來做斷言校驗但它同樣可以處理響應(yīng)體的自動解密。你可以在這里訪問pm.response.text()獲取原始的可能是加密的響應(yīng)文本調(diào)用解密函數(shù)進行處理然后將解密后的明文存入變量供后續(xù)的斷言使用或者直接console.log輸出查看。這兩個腳本運行在一個加強了功能的Node.js-like沙箱環(huán)境中它內(nèi)置了如CryptoJS這樣的常用庫但版本和功能有限也允許我們通過require方式引入外部庫。2.2 加密庫選型CryptoJS與sm-crypto對于不同的算法我們需要引入不同的庫AES加密這是最方便的。Postman沙箱環(huán)境內(nèi)置了CryptoJS庫。你可以直接使用CryptoJS.AES.encrypt和CryptoJS.AES.decrypt方法。這個內(nèi)置的CryptoJS版本通常足夠處理AES的CBC、ECB等常見模式和PKCS5/PKCS7填充。這是我們的首選方案。SM2/SM3/SM4國密算法Postman環(huán)境沒有內(nèi)置國密算法支持。我們必須通過外部引入。目前最成熟、兼容性最好的選擇是**sm-crypto**這個純JavaScript實現(xiàn)的國密算法庫。我們需要在腳本中通過require語句來加載它。這里有一個至關(guān)重要的技術(shù)細節(jié)Postman的腳本環(huán)境不支持直接從網(wǎng)絡(luò)URL如CDN動態(tài)加載外部JS庫。你不能寫script src...。正確的做法是將目標(biāo)庫的完整源代碼以字符串的形式復(fù)制粘貼到你的腳本中然后通過eval或者構(gòu)造Function的方式來“安裝”這個庫。更優(yōu)雅和可維護的方式是利用Postman的“全局變量”或“環(huán)境變量”將庫的源碼存儲為一個長長的字符串變量然后在腳本開頭通過eval(pm.globals.get(smCryptoLibCode))這樣的方式來引入。這確保了庫代碼在所有請求中可復(fù)用且易于更新。2.3 算法模式與填充理解你的加密參數(shù)在開始寫代碼之前必須和開發(fā)確認清楚加密的所有參數(shù)任何一項不匹配都會導(dǎo)致加解密失敗。以下是關(guān)鍵參數(shù)解析算法AES、SM4。這是根本。密鑰Key加密和解密的鑰匙。需要確認長度如AES-128/192/256對應(yīng)16/24/32字節(jié)和格式通常是Hex十六進制字符串或Base64字符串。模式ModeECB電子密碼本模式。最簡單同一密鑰下相同明文塊加密結(jié)果相同安全性較弱不推薦用于敏感數(shù)據(jù)。CBC密碼分組鏈接模式。最常用的模式之一需要初始化向量IV。IV的作用是使相同的明文每次加密產(chǎn)生不同的密文提升安全性。IV通常需要和密鑰一起提供給解密方。GCM伽羅瓦/計數(shù)器模式。這是一種認證加密模式不僅能保密還能驗證數(shù)據(jù)完整性防篡改。它會產(chǎn)出密文和一個認證標(biāo)簽Auth Tag。填充Padding因為分組密碼算法如AES、SM4按固定塊大小如128位處理數(shù)據(jù)明文長度不是塊大小的整數(shù)倍時就需要填充。PKCS5/PKCS7最常用的填充方式。本質(zhì)上在PKCS5的上下文中對于AES這類16字節(jié)塊大小的算法PKCS5和PKCS7是等價的。NoPadding無填充。要求明文長度必須是塊大小的整數(shù)倍否則會出錯。輸出格式加密后的結(jié)果通常是一個二進制數(shù)據(jù)CipherParams對象我們需要將其轉(zhuǎn)換為字符串以便在HTTP請求中傳輸。最常見的是Base64和Hex十六進制。必須確認后端期望哪種格式。對于SM3它是哈希算法散列函數(shù)用于生成消息摘要或簽名不可逆。通常用于計算參數(shù)的簽名Sign而非對請求體整體加密。3. 實戰(zhàn)配置在Postman中集成SM-Crypto庫由于AES有內(nèi)置支持我們重點解決國密算法的引入問題。我們將sm-crypto庫集成到Postman中。第一步獲取sm-crypto庫源碼訪問sm-crypto的GitHub倉庫例如https://github.com/JuneAndGreen/sm-crypto或通過npm獲取其瀏覽器構(gòu)建版本如sm-crypto.min.js。我們需要的是那個獨立的、包含所有功能的單個JS文件內(nèi)容。第二步將庫源碼存入Postman全局變量在Postman中點擊右上角的眼睛圖標(biāo)進入環(huán)境/全局變量管理界面。切換到“Globals”標(biāo)簽頁。點擊“Add”新建一個變量。變量名可以設(shè)為smCryptoLib。將sm-crypto庫的完整、單文件的JS源碼全部復(fù)制粘貼到“Initial value”和“Current value”中。這是一個非常長的字符串。點擊“Save”保存。注意全局變量對所有工作區(qū)請求可見。如果你只在特定項目中使用也可以將其存入“環(huán)境變量”中。關(guān)鍵在于這個源碼字符串要能被腳本訪問到。第三步編寫通用的庫加載腳本為了避免在每個請求的Pre-request和Tests腳本中都重復(fù)寫加載代碼我們可以創(chuàng)建一個Postman的全局腳本雖然Postman沒有傳統(tǒng)意義上的全局腳本但我們可以通過一個變通方法將加載邏輯寫成一個函數(shù)存入另一個全局變量。更簡單的做法是將加載邏輯封裝成一個可復(fù)用的代碼片段。下面是一個安全的加載函數(shù)示例你可以將其保存在一個文本編輯器中隨時復(fù)制使用// 函數(shù)安全地加載并返回smCrypto對象 const loadSmCrypto () { // 檢查是否已加載避免重復(fù)執(zhí)行eval if (typeof smCrypto ! undefined) { return smCrypto; } // 從全局變量中獲取庫源碼 const libCode pm.globals.get(smCryptoLib); if (!libCode) { throw new Error(smCrypto庫源碼未在全局變量中找到請檢查變量名是否為“smCryptoLib”。); } // 在一個新的函數(shù)作用域中執(zhí)行庫代碼避免污染全局環(huán)境 const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); const cryptoLib loadScript(); // 將返回的對象賦值給一個全局可訪問的變量在Postman腳本上下文中 globalThis.smCrypto cryptoLib; return cryptoLib; }; // 調(diào)用函數(shù)獲取smCrypto對象 let smCrypto; try { smCrypto loadSmCrypto(); console.log(sm-crypto庫加載成功); } catch (error) { console.error(加載sm-crypto庫失敗:, error.message); // 可以根據(jù)需要設(shè)置一個標(biāo)記讓后續(xù)邏輯不再執(zhí)行加密操作 }將上述代碼塊放在你的Pre-request Script或Tests Script的最前面。現(xiàn)在你就可以通過smCrypto.sm2smCrypto.sm3smCrypto.sm4來調(diào)用國密算法了。4. 編寫加解密函數(shù)針對AES與SM4的完整示例有了庫的支持我們就可以編寫具體的加解密函數(shù)了。這里我們分別給出AES使用內(nèi)置CryptoJS和SM4使用引入的sm-crypto的示例。4.1 AES加解密函數(shù)使用內(nèi)置CryptoJS假設(shè)場景AES-128-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Base64。// AES 加解密函數(shù) (使用內(nèi)置CryptoJS) /** * AES加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進制格式的密鑰16/24/32字節(jié)對應(yīng)128/192/256位 * param {string} ivHex - 16進制格式的初始化向量16字節(jié) * param {string} outputFormat - 輸出格式base64 或 hex默認base64 * returns {string} 加密后的密文字符串 */ function aesEncrypt(plainText, keyHex, ivHex, outputFormat base64) { try { // CryptoJS期望的Key和IV是WordArray對象可以從Hex字符串轉(zhuǎn)換 const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 執(zhí)行加密 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 // 對于AESPkcs7即等同于Pkcs5 }); // 根據(jù)要求格式輸出 if (outputFormat.toLowerCase() hex) { return encrypted.ciphertext.toString(CryptoJS.enc.Hex); } else { // 默認返回Base64 return encrypted.toString(); } } catch (error) { console.error(AES加密失敗:, error); throw new Error(AES加密失敗: ${error.message}); } } /** * AES解密 (CBC模式PKCS7填充) * param {string} cipherText - 待解密的密文Base64或Hex字符串 * param {string} keyHex - 16進制格式的密鑰 * param {string} ivHex - 16進制格式的初始化向量 * param {string} inputFormat - 輸入密文格式base64 或 hex默認base64 * returns {string} 解密后的明文字符串 */ function aesDecrypt(cipherText, keyHex, ivHex, inputFormat base64) { try { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 根據(jù)輸入格式將密文字符串轉(zhuǎn)換為CipherParams對象 let cipherParams; if (inputFormat.toLowerCase() hex) { // 如果是Hex格式需要先還原為WordArray const ciphertextHex CryptoJS.enc.Hex.parse(cipherText); // 創(chuàng)建一個CipherParams對象CryptoJS內(nèi)部解密時需要 cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: ciphertextHex }); } else { // 對于Base64CryptoJS.enc.Base64.parse可能不直接適用使用CryptoJS.AES.decrypt本身能處理Base64字符串 // 這里直接傳遞字符串CryptoJS會識別 cipherParams cipherText; } const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }); // 將解密結(jié)果WordArray轉(zhuǎn)換為UTF-8字符串 return decrypted.toString(CryptoJS.enc.Utf8); } catch (error) { console.error(AES解密失敗:, error); throw new Error(AES解密失敗: ${error.message}); } } // 使用示例 // 假設(shè)你的密鑰和IV存儲在環(huán)境變量中 const aesKey pm.environment.get(AES_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex128位密鑰 const aesIv pm.environment.get(AES_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 加密示例 const originalBody { userId: 10001, action: query }; const plainText JSON.stringify(originalBody); const encryptedBodyBase64 aesEncrypt(plainText, aesKey, aesIv, base64); console.log(加密后的Body (Base64):, encryptedBodyBase64); // 將加密結(jié)果設(shè)置到請求Body中例如raw JSON格式但內(nèi)容是一個加密字符串 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedBodyBase64 }) // 根據(jù)后端接口要求可能直接傳密文也可能包裝在一個字段里 }); // 解密示例通常在Tests腳本中 // const responseBody pm.response.text(); // const decryptedText aesDecrypt(responseBody, aesKey, aesIv, base64); // console.log(解密后的響應(yīng):, decryptedText); // const jsonData JSON.parse(decryptedText); // pm.environment.set(decrypted_response, JSON.stringify(jsonData));4.2 SM4加解密函數(shù)使用sm-crypto假設(shè)場景SM4-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Hex。// 首先確保加載了sm-crypto庫 // 使用第3部分定義的loadSmCrypto函數(shù) let smCrypto; try { // 假設(shè)loadSmCrypto函數(shù)已定義或直接使用前面的代碼 // 這里簡化為直接調(diào)用之前定義的函數(shù) smCrypto loadSmCrypto(); // 這個函數(shù)需要提前定義或包含 if (!smCrypto) { throw new Error(smCrypto對象未加載成功); } } catch (error) { console.error(初始化sm-crypto失敗:, error); // 可以設(shè)置一個標(biāo)記阻止后續(xù)加密操作 } // SM4 加解密函數(shù) /** * SM4加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進制格式的密鑰32位hex字符16字節(jié) * param {string} ivHex - 16進制格式的初始化向量32位hex字符16字節(jié)ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認cbc * param {string} outputEncoding - 輸出編碼hex 或 base64默認hex * returns {string} 加密后的密文字符串 */ function sm4Encrypt(plainText, keyHex, ivHex , mode cbc, outputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4加密功能不可用請檢查sm-crypto庫是否加載成功。); } try { let encrypted; if (mode.toLowerCase() ecb) { // ECB模式不需要IV encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: ecb, outputEncoding: outputEncoding }); } else { // CBC模式需要IV if (!ivHex || ivHex.length ! 32) { // 16字節(jié) 32位hex throw new Error(CBC模式需要提供32位十六進制字符的IV。); } encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: cbc, iv: ivHex, outputEncoding: outputEncoding }); } return encrypted; } catch (error) { console.error(SM4加密失敗:, error); throw new Error(SM4加密失敗: ${error.message}); } } /** * SM4解密 * param {string} cipherText - 待解密的密文Hex或Base64字符串 * param {string} keyHex - 16進制格式的密鑰 * param {string} ivHex - 16進制格式的初始化向量ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認cbc * param {string} inputEncoding - 輸入密文編碼hex 或 base64默認hex * returns {string} 解密后的明文字符串 */ function sm4Decrypt(cipherText, keyHex, ivHex , mode cbc, inputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4解密功能不可用請檢查sm-crypto庫是否加載成功。); } try { let decrypted; if (mode.toLowerCase() ecb) { decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: ecb, inputEncoding: inputEncoding }); } else { if (!ivHex || ivHex.length ! 32) { throw new Error(CBC模式需要提供32位十六進制字符的IV。); } decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: cbc, iv: ivHex, inputEncoding: inputEncoding }); } return decrypted; } catch (error) { console.error(SM4解密失敗:, error); throw new Error(SM4解密失敗: ${error.message}); } } // SM3 哈希計算函數(shù) function sm3Hash(data) { if (!smCrypto || !smCrypto.sm3) { throw new Error(sm3哈希功能不可用請檢查sm-crypto庫是否加載成功。); } return smCrypto.sm3(data); // sm3函數(shù)通常直接返回16進制哈希字符串 } // 使用示例 // 假設(shè)密鑰和IV存儲在環(huán)境變量中 const sm4Key pm.environment.get(SM4_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex const sm4Iv pm.environment.get(SM4_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 1. 加密請求體 const requestData { certNo: 110101199001011234, mobile: 13800138000 }; const plainTextForSm4 JSON.stringify(requestData); const encryptedDataHex sm4Encrypt(plainTextForSm4, sm4Key, sm4Iv, cbc, hex); console.log(SM4加密后的數(shù)據(jù) (Hex):, encryptedDataHex); // 更新請求體例如以表單數(shù)據(jù)或JSON格式發(fā)送 pm.request.body.update({ mode: raw, raw: JSON.stringify({ encryptedData: encryptedDataHex }) }); // 2. 計算簽名例如將某些參數(shù)排序后拼接再進行SM3哈希 const signParams { appId: your_app_id, timestamp: Date.now().toString(), data: encryptedDataHex }; // 按參數(shù)名ASCII碼從小到大排序拼接成鍵值對字符串最后加上密鑰 const signString Object.keys(signParams).sort().map(key ${key}${signParams[key]}).join() key${sm4Key}; const signature sm3Hash(signString); console.log(生成的SM3簽名:, signature); // 將簽名放入請求頭 pm.request.headers.add({ key: X-Signature, value: signature }); // 3. 解密響應(yīng)在Tests腳本中 // const encryptedResponse pm.response.text(); // 假設(shè)響應(yīng)體就是Hex格式的密文 // const decryptedResponseText sm4Decrypt(encryptedResponse, sm4Key, sm4Iv, cbc, hex); // console.log(SM4解密后的響應(yīng):, decryptedResponseText); // pm.test(響應(yīng)解密成功, function () { // const jsonResp JSON.parse(decryptedResponseText); // pm.expect(jsonResp.code).to.eql(0); // });5. 構(gòu)建自動化測試工作流變量、集合與腳本的聯(lián)動有了基礎(chǔ)的加解密函數(shù)下一步是將其融入Postman的自動化測試工作流實現(xiàn)真正的“一鍵測試”。5.1 利用環(huán)境變量與全局變量管理密鑰和配置永遠不要將密鑰等敏感信息硬編碼在腳本里。Postman的變量系統(tǒng)是管理這些配置的最佳場所。環(huán)境變量Environment Variables為不同的測試環(huán)境開發(fā)、測試、預(yù)生產(chǎn)設(shè)置不同的密鑰、IV和接口地址。例如創(chuàng)建DEV環(huán)境變量SM4_KEY,SM4_IV,BASE_URL。切換到TEST環(huán)境時這些值會自動更換。全局變量Global Variables存放一些跨環(huán)境共享的配置比如smCryptoLib庫源碼或者通用的加密函數(shù)配置如默認的outputEncoding。集合變量Collection Variables如果一套接口都使用相同的加解密方式可以將密鑰和IV定義在集合級別該集合下的所有請求都可以繼承使用。在腳本中使用pm.environment.get(KEY_NAME)和pm.collectionVariables.get(KEY_NAME)來獲取這些值。5.2 在集合級別定義預(yù)請求腳本和測試腳本如果你有多個接口都需要相同的加解密邏輯在每個請求里重復(fù)寫腳本是低效的。Postman允許在集合Collection級別定義Pre-request Script和Tests Script。這些腳本會在集合內(nèi)每個請求的對應(yīng)階段執(zhí)行。你可以把加載加密庫的通用代碼、以及獲取基礎(chǔ)密鑰變量的邏輯放在集合的Pre-request Script中。這樣集合內(nèi)的每個請求腳本一運行就已經(jīng)有了可用的加密庫和密鑰。集合級Pre-request Script示例// 集合級Pre-request Script: 初始化加密環(huán)境 console.log(運行在集合【${pm.collection.name}】的預(yù)請求腳本); // 1. 加載sm-crypto庫如果用到 try { if (!globalThis.smCrypto) { const libCode pm.globals.get(smCryptoLib); if (libCode) { const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); globalThis.smCrypto loadScript(); console.log(集合級腳本sm-crypto庫加載成功。); } } } catch (error) { console.error(集合級腳本加載sm-crypto庫失敗, error); } // 2. 定義全局可用的加密函數(shù)可選也可以在每個請求腳本中定義 // 這里可以定義 aesEncrypt, sm4Encrypt 等函數(shù)并掛載到 globalThis 上 // 例如globalThis.myCrypto { aesEncrypt, sm4Encrypt };5.3 參數(shù)化與數(shù)據(jù)驅(qū)動測試這是自動化測試的精華。你可以將測試數(shù)據(jù)明文放在一個CSV或JSON文件中通過Postman的Collection Runner或Newman命令行工具來運行。準(zhǔn)備數(shù)據(jù)文件創(chuàng)建一個CSV文件例如test_data.csv包含列testCaseId,plainJson,expectedCode。testCaseId,plainJson,expectedCode TC01,{name:張三,idCard:110101199001011234},0 TC02,{name:李四,idCard:},1001 # 身份證為空期望返回錯誤碼1001在請求腳本中引用數(shù)據(jù)在Pre-request Script中使用pm.iterationData.get(plainJson)來獲取當(dāng)前迭代的測試數(shù)據(jù)。// 在請求的Pre-request Script中 const plainJsonString pm.iterationData.get(plainJson); const key pm.environment.get(SM4_KEY); const iv pm.environment.get(SM4_IV); // 加密數(shù)據(jù) const encryptedData sm4Encrypt(plainJsonString, key, iv, cbc, hex); // 更新請求體 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedData }) }); // 將期望的結(jié)果也存入環(huán)境變量供Tests腳本斷言使用 pm.environment.set(expectedCode, pm.iterationData.get(expectedCode));在Tests腳本中斷言解密響應(yīng)后使用pm.expect對解密后的業(yè)務(wù)數(shù)據(jù)進行斷言并與pm.environment.get(expectedCode)進行比對。// 解密響應(yīng) const encryptedResponse pm.response.text(); const decryptedText sm4Decrypt(encryptedResponse, key, iv, cbc, hex); const actualResponse JSON.parse(decryptedText); // 斷言 pm.test(業(yè)務(wù)狀態(tài)碼正確, function () { pm.expect(actualResponse.code).to.eql(parseInt(pm.environment.get(expectedCode))); }); pm.test(響應(yīng)數(shù)據(jù)解密成功, function () { pm.expect(actualResponse).to.have.property(data); });通過這種方式你只需要準(zhǔn)備好測試數(shù)據(jù)文件然后運行集合Postman就會自動用每一行數(shù)據(jù)去加密、發(fā)送請求、解密響應(yīng)并驗證結(jié)果實現(xiàn)完全的自動化。6. 高級技巧與疑難問題排查在實際使用中你可能會遇到一些棘手的問題。這里分享一些經(jīng)驗和排查思路。6.1 處理GCM模式等高級加密模式AES-GCM模式在CryptoJS中可能需要特別注意。GCM模式會產(chǎn)生一個認證標(biāo)簽Authentication Tag這個標(biāo)簽需要和密文一起傳輸給接收方用于驗證。CryptoJS的encrypt方法在GCM模式下返回的對象結(jié)構(gòu)略有不同。function aesGcmEncrypt(plainText, keyHex, ivHex, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const additionalData CryptoJS.enc.Utf8.parse(aad); // 附加認證數(shù)據(jù)可選 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, // GCM通常使用NoPadding additionalData: additionalData // 設(shè)置AAD }); // 密文 const ciphertextBase64 encrypted.ciphertext.toString(CryptoJS.enc.Base64); // 認證標(biāo)簽非常重要 const authTagBase64 encrypted.tag.toString(CryptoJS.enc.Base64); return { ciphertext: ciphertextBase64, tag: authTagBase64 }; } // 發(fā)送時需要將ciphertext和tag都傳給后端通常放在JSON的不同字段里。解密時需要同時提供密文和tag。function aesGcmDecrypt(ciphertextBase64, keyHex, ivHex, authTagBase64, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const tag CryptoJS.enc.Base64.parse(authTagBase64); const additionalData CryptoJS.enc.Utf8.parse(aad); // 重組CipherParams對象必須包含ciphertext和tag const cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: CryptoJS.enc.Base64.parse(ciphertextBase64), tag: tag // 關(guān)鍵 }); const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, additionalData: additionalData }); return decrypted.toString(CryptoJS.enc.Utf8); }6.2 編碼與格式的坑Hex、Base64與字符串轉(zhuǎn)換這是加解密失敗最常見的原因之一。密鑰/IV格式確認開發(fā)給的密鑰是Hex字符串還是Base64字符串。一個16字節(jié)的密鑰Hex表示是32個字符0-9, a-fBase64表示是24個字符末尾可能有。在代碼中要用對應(yīng)的解析方法CryptoJS.enc.Hex.parse或CryptoJS.enc.Base64.parse。密文格式加密后輸出的是什么是Hex字符串還是Base64字符串解密時輸入的格式必須匹配。sm-crypto的outputEncoding/inputEncoding參數(shù)就是用來控制這個的。字符串編碼明文在加密前通常需要是字符串。如果是JSON對象要先JSON.stringify()。解密后得到的WordArray或字符串也要用正確的編碼如CryptoJS.enc.Utf8轉(zhuǎn)回來。一個實用的調(diào)試方法用一個已知的、能正常工作的加解密工具如OpenSSL命令行、一個可靠的在線工具和你的Postman腳本用相同的密鑰、IV、明文進行加密對比輸出的密文是否完全一致。如果不一致逐個參數(shù)檢查模式、填充、輸出格式。6.3 性能考量與腳本優(yōu)化當(dāng)測試數(shù)據(jù)量很大時在Pre-request Script中進行復(fù)雜的加密計算可能會略微影響請求發(fā)送速度。雖然對于單次接口測試影響微乎其微但在數(shù)據(jù)驅(qū)動測試的成百上千次迭代中累積起來可能可觀。緩存庫對象確保smCrypto或加密函數(shù)只被初始化一次而不是每次請求都重新eval庫源碼。這就是為什么我們在集合腳本或通過globalThis來緩存它。簡化邏輯檢查你的腳本避免不必要的循環(huán)或復(fù)雜計算。使用Newman對于大規(guī)模的自動化測試建議使用Postman的命令行工具Newman在服務(wù)器上運行其性能通常優(yōu)于圖形化界面的Collection Runner。6.4 常見錯誤與排查清單Error: Malformed UTF-8 data解密后轉(zhuǎn)換UTF-8字符串時出錯。幾乎可以肯定是解密失敗了得到的二進制數(shù)據(jù)根本不是有效的明文。請檢查密鑰、IV、模式、填充、密文格式是否全部與后端一致。Error: Invalid key length密鑰長度不對。AES-128需要16字節(jié)32位HexAES-256需要32字節(jié)64位Hex。SM4固定為16字節(jié)32位Hex。檢查你的密鑰變量是否正確獲取并解析。smCrypto is not definedsm-crypto庫沒有加載成功。檢查全局變量smCryptoLib是否存在且內(nèi)容完整檢查加載代碼的eval或Function構(gòu)造是否正確在腳本開頭加console.log(pm.globals.get(smCryptoLib).substring(0,100))看看是否拿到了庫代碼的前100個字符。后端返回“解密失敗”網(wǎng)絡(luò)抓包對比用Fiddler或Charles抓取一個從客戶端如App發(fā)出的成功請求和你Postman發(fā)出的請求進行對比。重點關(guān)注Body里的密文字符串是否完全一樣。日志輸出在Postman的ConsoleView - Show Postman Console中詳細打印出加密前的明文、使用的密鑰、IV、以及加密后的結(jié)果。將這些信息提供給開發(fā)讓他們用相同的參數(shù)在服務(wù)端解密看是否能成功。檢查請求格式密文是放在JSON的某個字段里還是直接作為Raw文本Content-Type頭是否正確如application/json無法解密響應(yīng)首先確認響應(yīng)體確實是加密的可能是一串規(guī)律的Hex或Base64碼。有些接口錯誤時可能返回明文錯誤信息。先console.log(pm.response.text())看看原始響應(yīng)是什么。如果是加密的再套用解密函數(shù)。將加解密邏輯整合進Postman雖然前期需要一些配置和腳本編寫工作但它所帶來的測試效率提升和流程標(biāo)準(zhǔn)化收益是巨大的。它使得加密接口的測試變得像測試普通明文接口一樣簡單直觀特別適合在敏捷開發(fā)和持續(xù)集成流程中落地。當(dāng)你熟悉了這套模式后無論是面對AES、SM4還是其他加密算法你都能快速構(gòu)建出對應(yīng)的自動化測試方案從容應(yīng)對各種安全接口的測試挑戰(zhàn)。 Postman自動化接口測試：集成AES與國密SM4加解密實戰(zhàn)指南
1. 從手動復(fù)制粘貼到自動化為什么我們需要在Postman里處理加解密如果你經(jīng)常和需要加解密的后端接口打交道下面這個場景你一定不陌生開發(fā)給了你一個接口文檔上面寫著“請求體需用SM4加密密鑰是xxx模式是CBC填充是PKCS5Padding”。你拿到一個明文的JSON比如{idCard: 110101199001011234, name: 張三}然后你打開一個在線的加密工具網(wǎng)站或者啟動一個本地的小腳本把明文、密鑰、IV如果有填進去點擊加密得到一串長長的密文。接著你把這串密文小心翼翼地復(fù)制到Postman的請求體里發(fā)送請求。如果后端返回“解密失敗”你又得回到加密工具檢查是不是模式選錯了、IV沒加、或者密鑰填錯了再來一輪復(fù)制粘貼。這個過程繁瑣、低效且容易出錯。當(dāng)接口參數(shù)需要動態(tài)變化或者你需要用不同的測試數(shù)據(jù)批量驗證時這種手動操作幾乎是一場災(zāi)難。更麻煩的是有些接口的響應(yīng)也是加密的你收到一堆亂碼還得再手動解密才能看到真正的業(yè)務(wù)數(shù)據(jù)是否如預(yù)期。Postman作為API測試的瑞士軍刀其核心價值在于自動化、可重復(fù)和協(xié)作。如果加解密這個環(huán)節(jié)被隔離在外部工具中整個測試流程就出現(xiàn)了嚴(yán)重的“斷點”。因此將加解密邏輯內(nèi)置于Postman實現(xiàn)請求的自動加密和響應(yīng)的自動解密是提升接口測試效率和質(zhì)量的關(guān)鍵一步。這不僅僅是省去了復(fù)制粘貼的步驟更是將加解密變成了測試用例的一部分使得參數(shù)化測試、數(shù)據(jù)驅(qū)動測試、以及CI/CD流水線中的接口自動化測試成為可能。今天我們就來深入探討如何在Postman中借助Pre-request Script和Tests Script優(yōu)雅地處理AES、SM3、SM4這些常見的加解密算法讓我們的接口測試工作流真正流暢起來。2. 核心工具與原理Postman腳本、CryptoJS與國密算法庫要在Postman中實現(xiàn)加解密我們主要依靠兩個核心Postman內(nèi)置的JavaScript執(zhí)行環(huán)境以及強大的第三方加密庫。理解這兩者是如何工作的是后續(xù)一切操作的基礎(chǔ)。2.1 Postman的腳本沙箱Pre-request與TestsPostman為每個請求提供了兩個關(guān)鍵的腳本執(zhí)行節(jié)點Pre-request Script請求前腳本在請求被發(fā)送之前運行。這是我們實現(xiàn)請求參數(shù)自動加密的主戰(zhàn)場。你可以在這里獲取環(huán)境變量、全局變量中的明文數(shù)據(jù)調(diào)用加密函數(shù)進行處理然后將結(jié)果動態(tài)設(shè)置到請求的URL、Params、Headers或Body中。Tests Script測試腳本在收到響應(yīng)之后運行。傳統(tǒng)上我們用它來做斷言校驗但它同樣可以處理響應(yīng)體的自動解密。你可以在這里訪問pm.response.text()獲取原始的可能是加密的響應(yīng)文本調(diào)用解密函數(shù)進行處理然后將解密后的明文存入變量供后續(xù)的斷言使用或者直接console.log輸出查看。這兩個腳本運行在一個加強了功能的Node.js-like沙箱環(huán)境中它內(nèi)置了如CryptoJS這樣的常用庫但版本和功能有限也允許我們通過require方式引入外部庫。2.2 加密庫選型CryptoJS與sm-crypto對于不同的算法我們需要引入不同的庫AES加密這是最方便的。Postman沙箱環(huán)境內(nèi)置了CryptoJS庫。你可以直接使用CryptoJS.AES.encrypt和CryptoJS.AES.decrypt方法。這個內(nèi)置的CryptoJS版本通常足夠處理AES的CBC、ECB等常見模式和PKCS5/PKCS7填充。這是我們的首選方案。SM2/SM3/SM4國密算法Postman環(huán)境沒有內(nèi)置國密算法支持。我們必須通過外部引入。目前最成熟、兼容性最好的選擇是**sm-crypto**這個純JavaScript實現(xiàn)的國密算法庫。我們需要在腳本中通過require語句來加載它。這里有一個至關(guān)重要的技術(shù)細節(jié)Postman的腳本環(huán)境不支持直接從網(wǎng)絡(luò)URL如CDN動態(tài)加載外部JS庫。你不能寫script src...。正確的做法是將目標(biāo)庫的完整源代碼以字符串的形式復(fù)制粘貼到你的腳本中然后通過eval或者構(gòu)造Function的方式來“安裝”這個庫。更優(yōu)雅和可維護的方式是利用Postman的“全局變量”或“環(huán)境變量”將庫的源碼存儲為一個長長的字符串變量然后在腳本開頭通過eval(pm.globals.get(smCryptoLibCode))這樣的方式來引入。這確保了庫代碼在所有請求中可復(fù)用且易于更新。2.3 算法模式與填充理解你的加密參數(shù)在開始寫代碼之前必須和開發(fā)確認清楚加密的所有參數(shù)任何一項不匹配都會導(dǎo)致加解密失敗。以下是關(guān)鍵參數(shù)解析算法AES、SM4。這是根本。密鑰Key加密和解密的鑰匙。需要確認長度如AES-128/192/256對應(yīng)16/24/32字節(jié)和格式通常是Hex十六進制字符串或Base64字符串。模式ModeECB電子密碼本模式。最簡單同一密鑰下相同明文塊加密結(jié)果相同安全性較弱不推薦用于敏感數(shù)據(jù)。CBC密碼分組鏈接模式。最常用的模式之一需要初始化向量IV。IV的作用是使相同的明文每次加密產(chǎn)生不同的密文提升安全性。IV通常需要和密鑰一起提供給解密方。GCM伽羅瓦/計數(shù)器模式。這是一種認證加密模式不僅能保密還能驗證數(shù)據(jù)完整性防篡改。它會產(chǎn)出密文和一個認證標(biāo)簽Auth Tag。填充Padding因為分組密碼算法如AES、SM4按固定塊大小如128位處理數(shù)據(jù)明文長度不是塊大小的整數(shù)倍時就需要填充。PKCS5/PKCS7最常用的填充方式。本質(zhì)上在PKCS5的上下文中對于AES這類16字節(jié)塊大小的算法PKCS5和PKCS7是等價的。NoPadding無填充。要求明文長度必須是塊大小的整數(shù)倍否則會出錯。輸出格式加密后的結(jié)果通常是一個二進制數(shù)據(jù)CipherParams對象我們需要將其轉(zhuǎn)換為字符串以便在HTTP請求中傳輸。最常見的是Base64和Hex十六進制。必須確認后端期望哪種格式。對于SM3它是哈希算法散列函數(shù)用于生成消息摘要或簽名不可逆。通常用于計算參數(shù)的簽名Sign而非對請求體整體加密。3. 實戰(zhàn)配置在Postman中集成SM-Crypto庫由于AES有內(nèi)置支持我們重點解決國密算法的引入問題。我們將sm-crypto庫集成到Postman中。第一步獲取sm-crypto庫源碼訪問sm-crypto的GitHub倉庫例如https://github.com/JuneAndGreen/sm-crypto或通過npm獲取其瀏覽器構(gòu)建版本如sm-crypto.min.js。我們需要的是那個獨立的、包含所有功能的單個JS文件內(nèi)容。第二步將庫源碼存入Postman全局變量在Postman中點擊右上角的眼睛圖標(biāo)進入環(huán)境/全局變量管理界面。切換到“Globals”標(biāo)簽頁。點擊“Add”新建一個變量。變量名可以設(shè)為smCryptoLib。將sm-crypto庫的完整、單文件的JS源碼全部復(fù)制粘貼到“Initial value”和“Current value”中。這是一個非常長的字符串。點擊“Save”保存。注意全局變量對所有工作區(qū)請求可見。如果你只在特定項目中使用也可以將其存入“環(huán)境變量”中。關(guān)鍵在于這個源碼字符串要能被腳本訪問到。第三步編寫通用的庫加載腳本為了避免在每個請求的Pre-request和Tests腳本中都重復(fù)寫加載代碼我們可以創(chuàng)建一個Postman的全局腳本雖然Postman沒有傳統(tǒng)意義上的全局腳本但我們可以通過一個變通方法將加載邏輯寫成一個函數(shù)存入另一個全局變量。更簡單的做法是將加載邏輯封裝成一個可復(fù)用的代碼片段。下面是一個安全的加載函數(shù)示例你可以將其保存在一個文本編輯器中隨時復(fù)制使用// 函數(shù)安全地加載并返回smCrypto對象 const loadSmCrypto () { // 檢查是否已加載避免重復(fù)執(zhí)行eval if (typeof smCrypto ! undefined) { return smCrypto; } // 從全局變量中獲取庫源碼 const libCode pm.globals.get(smCryptoLib); if (!libCode) { throw new Error(smCrypto庫源碼未在全局變量中找到請檢查變量名是否為“smCryptoLib”。); } // 在一個新的函數(shù)作用域中執(zhí)行庫代碼避免污染全局環(huán)境 const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); const cryptoLib loadScript(); // 將返回的對象賦值給一個全局可訪問的變量在Postman腳本上下文中 globalThis.smCrypto cryptoLib; return cryptoLib; }; // 調(diào)用函數(shù)獲取smCrypto對象 let smCrypto; try { smCrypto loadSmCrypto(); console.log(sm-crypto庫加載成功); } catch (error) { console.error(加載sm-crypto庫失敗:, error.message); // 可以根據(jù)需要設(shè)置一個標(biāo)記讓后續(xù)邏輯不再執(zhí)行加密操作 }將上述代碼塊放在你的Pre-request Script或Tests Script的最前面。現(xiàn)在你就可以通過smCrypto.sm2smCrypto.sm3smCrypto.sm4來調(diào)用國密算法了。4. 編寫加解密函數(shù)針對AES與SM4的完整示例有了庫的支持我們就可以編寫具體的加解密函數(shù)了。這里我們分別給出AES使用內(nèi)置CryptoJS和SM4使用引入的sm-crypto的示例。4.1 AES加解密函數(shù)使用內(nèi)置CryptoJS假設(shè)場景AES-128-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Base64。// AES 加解密函數(shù) (使用內(nèi)置CryptoJS) /** * AES加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進制格式的密鑰16/24/32字節(jié)對應(yīng)128/192/256位 * param {string} ivHex - 16進制格式的初始化向量16字節(jié) * param {string} outputFormat - 輸出格式base64 或 hex默認base64 * returns {string} 加密后的密文字符串 */ function aesEncrypt(plainText, keyHex, ivHex, outputFormat base64) { try { // CryptoJS期望的Key和IV是WordArray對象可以從Hex字符串轉(zhuǎn)換 const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 執(zhí)行加密 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 // 對于AESPkcs7即等同于Pkcs5 }); // 根據(jù)要求格式輸出 if (outputFormat.toLowerCase() hex) { return encrypted.ciphertext.toString(CryptoJS.enc.Hex); } else { // 默認返回Base64 return encrypted.toString(); } } catch (error) { console.error(AES加密失敗:, error); throw new Error(AES加密失敗: ${error.message}); } } /** * AES解密 (CBC模式PKCS7填充) * param {string} cipherText - 待解密的密文Base64或Hex字符串 * param {string} keyHex - 16進制格式的密鑰 * param {string} ivHex - 16進制格式的初始化向量 * param {string} inputFormat - 輸入密文格式base64 或 hex默認base64 * returns {string} 解密后的明文字符串 */ function aesDecrypt(cipherText, keyHex, ivHex, inputFormat base64) { try { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); // 根據(jù)輸入格式將密文字符串轉(zhuǎn)換為CipherParams對象 let cipherParams; if (inputFormat.toLowerCase() hex) { // 如果是Hex格式需要先還原為WordArray const ciphertextHex CryptoJS.enc.Hex.parse(cipherText); // 創(chuàng)建一個CipherParams對象CryptoJS內(nèi)部解密時需要 cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: ciphertextHex }); } else { // 對于Base64CryptoJS.enc.Base64.parse可能不直接適用使用CryptoJS.AES.decrypt本身能處理Base64字符串 // 這里直接傳遞字符串CryptoJS會識別 cipherParams cipherText; } const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }); // 將解密結(jié)果WordArray轉(zhuǎn)換為UTF-8字符串 return decrypted.toString(CryptoJS.enc.Utf8); } catch (error) { console.error(AES解密失敗:, error); throw new Error(AES解密失敗: ${error.message}); } } // 使用示例 // 假設(shè)你的密鑰和IV存儲在環(huán)境變量中 const aesKey pm.environment.get(AES_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex128位密鑰 const aesIv pm.environment.get(AES_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 加密示例 const originalBody { userId: 10001, action: query }; const plainText JSON.stringify(originalBody); const encryptedBodyBase64 aesEncrypt(plainText, aesKey, aesIv, base64); console.log(加密后的Body (Base64):, encryptedBodyBase64); // 將加密結(jié)果設(shè)置到請求Body中例如raw JSON格式但內(nèi)容是一個加密字符串 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedBodyBase64 }) // 根據(jù)后端接口要求可能直接傳密文也可能包裝在一個字段里 }); // 解密示例通常在Tests腳本中 // const responseBody pm.response.text(); // const decryptedText aesDecrypt(responseBody, aesKey, aesIv, base64); // console.log(解密后的響應(yīng):, decryptedText); // const jsonData JSON.parse(decryptedText); // pm.environment.set(decrypted_response, JSON.stringify(jsonData));4.2 SM4加解密函數(shù)使用sm-crypto假設(shè)場景SM4-CBC模式PKCS7填充密鑰和IV為16字節(jié)Hex字符串輸出為Hex。// 首先確保加載了sm-crypto庫 // 使用第3部分定義的loadSmCrypto函數(shù) let smCrypto; try { // 假設(shè)loadSmCrypto函數(shù)已定義或直接使用前面的代碼 // 這里簡化為直接調(diào)用之前定義的函數(shù) smCrypto loadSmCrypto(); // 這個函數(shù)需要提前定義或包含 if (!smCrypto) { throw new Error(smCrypto對象未加載成功); } } catch (error) { console.error(初始化sm-crypto失敗:, error); // 可以設(shè)置一個標(biāo)記阻止后續(xù)加密操作 } // SM4 加解密函數(shù) /** * SM4加密 (CBC模式PKCS7填充) * param {string} plainText - 待加密的明文 * param {string} keyHex - 16進制格式的密鑰32位hex字符16字節(jié) * param {string} ivHex - 16進制格式的初始化向量32位hex字符16字節(jié)ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認cbc * param {string} outputEncoding - 輸出編碼hex 或 base64默認hex * returns {string} 加密后的密文字符串 */ function sm4Encrypt(plainText, keyHex, ivHex , mode cbc, outputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4加密功能不可用請檢查sm-crypto庫是否加載成功。); } try { let encrypted; if (mode.toLowerCase() ecb) { // ECB模式不需要IV encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: ecb, outputEncoding: outputEncoding }); } else { // CBC模式需要IV if (!ivHex || ivHex.length ! 32) { // 16字節(jié) 32位hex throw new Error(CBC模式需要提供32位十六進制字符的IV。); } encrypted smCrypto.sm4.encrypt(plainText, keyHex, { mode: cbc, iv: ivHex, outputEncoding: outputEncoding }); } return encrypted; } catch (error) { console.error(SM4加密失敗:, error); throw new Error(SM4加密失敗: ${error.message}); } } /** * SM4解密 * param {string} cipherText - 待解密的密文Hex或Base64字符串 * param {string} keyHex - 16進制格式的密鑰 * param {string} ivHex - 16進制格式的初始化向量ECB模式可傳空 * param {string} mode - 模式cbc 或 ecb默認cbc * param {string} inputEncoding - 輸入密文編碼hex 或 base64默認hex * returns {string} 解密后的明文字符串 */ function sm4Decrypt(cipherText, keyHex, ivHex , mode cbc, inputEncoding hex) { if (!smCrypto || !smCrypto.sm4) { throw new Error(sm4解密功能不可用請檢查sm-crypto庫是否加載成功。); } try { let decrypted; if (mode.toLowerCase() ecb) { decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: ecb, inputEncoding: inputEncoding }); } else { if (!ivHex || ivHex.length ! 32) { throw new Error(CBC模式需要提供32位十六進制字符的IV。); } decrypted smCrypto.sm4.decrypt(cipherText, keyHex, { mode: cbc, iv: ivHex, inputEncoding: inputEncoding }); } return decrypted; } catch (error) { console.error(SM4解密失敗:, error); throw new Error(SM4解密失敗: ${error.message}); } } // SM3 哈希計算函數(shù) function sm3Hash(data) { if (!smCrypto || !smCrypto.sm3) { throw new Error(sm3哈希功能不可用請檢查sm-crypto庫是否加載成功。); } return smCrypto.sm3(data); // sm3函數(shù)通常直接返回16進制哈希字符串 } // 使用示例 // 假設(shè)密鑰和IV存儲在環(huán)境變量中 const sm4Key pm.environment.get(SM4_KEY) || 0123456789abcdef0123456789abcdef; // 32位hex const sm4Iv pm.environment.get(SM4_IV) || 0123456789abcdef0123456789abcdef; // 32位hex // 1. 加密請求體 const requestData { certNo: 110101199001011234, mobile: 13800138000 }; const plainTextForSm4 JSON.stringify(requestData); const encryptedDataHex sm4Encrypt(plainTextForSm4, sm4Key, sm4Iv, cbc, hex); console.log(SM4加密后的數(shù)據(jù) (Hex):, encryptedDataHex); // 更新請求體例如以表單數(shù)據(jù)或JSON格式發(fā)送 pm.request.body.update({ mode: raw, raw: JSON.stringify({ encryptedData: encryptedDataHex }) }); // 2. 計算簽名例如將某些參數(shù)排序后拼接再進行SM3哈希 const signParams { appId: your_app_id, timestamp: Date.now().toString(), data: encryptedDataHex }; // 按參數(shù)名ASCII碼從小到大排序拼接成鍵值對字符串最后加上密鑰 const signString Object.keys(signParams).sort().map(key ${key}${signParams[key]}).join() key${sm4Key}; const signature sm3Hash(signString); console.log(生成的SM3簽名:, signature); // 將簽名放入請求頭 pm.request.headers.add({ key: X-Signature, value: signature }); // 3. 解密響應(yīng)在Tests腳本中 // const encryptedResponse pm.response.text(); // 假設(shè)響應(yīng)體就是Hex格式的密文 // const decryptedResponseText sm4Decrypt(encryptedResponse, sm4Key, sm4Iv, cbc, hex); // console.log(SM4解密后的響應(yīng):, decryptedResponseText); // pm.test(響應(yīng)解密成功, function () { // const jsonResp JSON.parse(decryptedResponseText); // pm.expect(jsonResp.code).to.eql(0); // });5. 構(gòu)建自動化測試工作流變量、集合與腳本的聯(lián)動有了基礎(chǔ)的加解密函數(shù)下一步是將其融入Postman的自動化測試工作流實現(xiàn)真正的“一鍵測試”。5.1 利用環(huán)境變量與全局變量管理密鑰和配置永遠不要將密鑰等敏感信息硬編碼在腳本里。Postman的變量系統(tǒng)是管理這些配置的最佳場所。環(huán)境變量Environment Variables為不同的測試環(huán)境開發(fā)、測試、預(yù)生產(chǎn)設(shè)置不同的密鑰、IV和接口地址。例如創(chuàng)建DEV環(huán)境變量SM4_KEY,SM4_IV,BASE_URL。切換到TEST環(huán)境時這些值會自動更換。全局變量Global Variables存放一些跨環(huán)境共享的配置比如smCryptoLib庫源碼或者通用的加密函數(shù)配置如默認的outputEncoding。集合變量Collection Variables如果一套接口都使用相同的加解密方式可以將密鑰和IV定義在集合級別該集合下的所有請求都可以繼承使用。在腳本中使用pm.environment.get(KEY_NAME)和pm.collectionVariables.get(KEY_NAME)來獲取這些值。5.2 在集合級別定義預(yù)請求腳本和測試腳本如果你有多個接口都需要相同的加解密邏輯在每個請求里重復(fù)寫腳本是低效的。Postman允許在集合Collection級別定義Pre-request Script和Tests Script。這些腳本會在集合內(nèi)每個請求的對應(yīng)階段執(zhí)行。你可以把加載加密庫的通用代碼、以及獲取基礎(chǔ)密鑰變量的邏輯放在集合的Pre-request Script中。這樣集合內(nèi)的每個請求腳本一運行就已經(jīng)有了可用的加密庫和密鑰。集合級Pre-request Script示例// 集合級Pre-request Script: 初始化加密環(huán)境 console.log(運行在集合【${pm.collection.name}】的預(yù)請求腳本); // 1. 加載sm-crypto庫如果用到 try { if (!globalThis.smCrypto) { const libCode pm.globals.get(smCryptoLib); if (libCode) { const loadScript new Function(libCode \nreturn { sm2, sm3, sm4 };); globalThis.smCrypto loadScript(); console.log(集合級腳本sm-crypto庫加載成功。); } } } catch (error) { console.error(集合級腳本加載sm-crypto庫失敗, error); } // 2. 定義全局可用的加密函數(shù)可選也可以在每個請求腳本中定義 // 這里可以定義 aesEncrypt, sm4Encrypt 等函數(shù)并掛載到 globalThis 上 // 例如globalThis.myCrypto { aesEncrypt, sm4Encrypt };5.3 參數(shù)化與數(shù)據(jù)驅(qū)動測試這是自動化測試的精華。你可以將測試數(shù)據(jù)明文放在一個CSV或JSON文件中通過Postman的Collection Runner或Newman命令行工具來運行。準(zhǔn)備數(shù)據(jù)文件創(chuàng)建一個CSV文件例如test_data.csv包含列testCaseId,plainJson,expectedCode。testCaseId,plainJson,expectedCode TC01,{name:張三,idCard:110101199001011234},0 TC02,{name:李四,idCard:},1001 # 身份證為空期望返回錯誤碼1001在請求腳本中引用數(shù)據(jù)在Pre-request Script中使用pm.iterationData.get(plainJson)來獲取當(dāng)前迭代的測試數(shù)據(jù)。// 在請求的Pre-request Script中 const plainJsonString pm.iterationData.get(plainJson); const key pm.environment.get(SM4_KEY); const iv pm.environment.get(SM4_IV); // 加密數(shù)據(jù) const encryptedData sm4Encrypt(plainJsonString, key, iv, cbc, hex); // 更新請求體 pm.request.body.update({ mode: raw, raw: JSON.stringify({ data: encryptedData }) }); // 將期望的結(jié)果也存入環(huán)境變量供Tests腳本斷言使用 pm.environment.set(expectedCode, pm.iterationData.get(expectedCode));在Tests腳本中斷言解密響應(yīng)后使用pm.expect對解密后的業(yè)務(wù)數(shù)據(jù)進行斷言并與pm.environment.get(expectedCode)進行比對。// 解密響應(yīng) const encryptedResponse pm.response.text(); const decryptedText sm4Decrypt(encryptedResponse, key, iv, cbc, hex); const actualResponse JSON.parse(decryptedText); // 斷言 pm.test(業(yè)務(wù)狀態(tài)碼正確, function () { pm.expect(actualResponse.code).to.eql(parseInt(pm.environment.get(expectedCode))); }); pm.test(響應(yīng)數(shù)據(jù)解密成功, function () { pm.expect(actualResponse).to.have.property(data); });通過這種方式你只需要準(zhǔn)備好測試數(shù)據(jù)文件然后運行集合Postman就會自動用每一行數(shù)據(jù)去加密、發(fā)送請求、解密響應(yīng)并驗證結(jié)果實現(xiàn)完全的自動化。6. 高級技巧與疑難問題排查在實際使用中你可能會遇到一些棘手的問題。這里分享一些經(jīng)驗和排查思路。6.1 處理GCM模式等高級加密模式AES-GCM模式在CryptoJS中可能需要特別注意。GCM模式會產(chǎn)生一個認證標(biāo)簽Authentication Tag這個標(biāo)簽需要和密文一起傳輸給接收方用于驗證。CryptoJS的encrypt方法在GCM模式下返回的對象結(jié)構(gòu)略有不同。function aesGcmEncrypt(plainText, keyHex, ivHex, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const additionalData CryptoJS.enc.Utf8.parse(aad); // 附加認證數(shù)據(jù)可選 const encrypted CryptoJS.AES.encrypt(plainText, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, // GCM通常使用NoPadding additionalData: additionalData // 設(shè)置AAD }); // 密文 const ciphertextBase64 encrypted.ciphertext.toString(CryptoJS.enc.Base64); // 認證標(biāo)簽非常重要 const authTagBase64 encrypted.tag.toString(CryptoJS.enc.Base64); return { ciphertext: ciphertextBase64, tag: authTagBase64 }; } // 發(fā)送時需要將ciphertext和tag都傳給后端通常放在JSON的不同字段里。解密時需要同時提供密文和tag。function aesGcmDecrypt(ciphertextBase64, keyHex, ivHex, authTagBase64, aad ) { const key CryptoJS.enc.Hex.parse(keyHex); const iv CryptoJS.enc.Hex.parse(ivHex); const tag CryptoJS.enc.Base64.parse(authTagBase64); const additionalData CryptoJS.enc.Utf8.parse(aad); // 重組CipherParams對象必須包含ciphertext和tag const cipherParams CryptoJS.lib.CipherParams.create({ ciphertext: CryptoJS.enc.Base64.parse(ciphertextBase64), tag: tag // 關(guān)鍵 }); const decrypted CryptoJS.AES.decrypt(cipherParams, key, { iv: iv, mode: CryptoJS.mode.GCM, padding: CryptoJS.pad.NoPadding, additionalData: additionalData }); return decrypted.toString(CryptoJS.enc.Utf8); }6.2 編碼與格式的坑Hex、Base64與字符串轉(zhuǎn)換這是加解密失敗最常見的原因之一。密鑰/IV格式確認開發(fā)給的密鑰是Hex字符串還是Base64字符串。一個16字節(jié)的密鑰Hex表示是32個字符0-9, a-fBase64表示是24個字符末尾可能有。在代碼中要用對應(yīng)的解析方法CryptoJS.enc.Hex.parse或CryptoJS.enc.Base64.parse。密文格式加密后輸出的是什么是Hex字符串還是Base64字符串解密時輸入的格式必須匹配。sm-crypto的outputEncoding/inputEncoding參數(shù)就是用來控制這個的。字符串編碼明文在加密前通常需要是字符串。如果是JSON對象要先JSON.stringify()。解密后得到的WordArray或字符串也要用正確的編碼如CryptoJS.enc.Utf8轉(zhuǎn)回來。一個實用的調(diào)試方法用一個已知的、能正常工作的加解密工具如OpenSSL命令行、一個可靠的在線工具和你的Postman腳本用相同的密鑰、IV、明文進行加密對比輸出的密文是否完全一致。如果不一致逐個參數(shù)檢查模式、填充、輸出格式。6.3 性能考量與腳本優(yōu)化當(dāng)測試數(shù)據(jù)量很大時在Pre-request Script中進行復(fù)雜的加密計算可能會略微影響請求發(fā)送速度。雖然對于單次接口測試影響微乎其微但在數(shù)據(jù)驅(qū)動測試的成百上千次迭代中累積起來可能可觀。緩存庫對象確保smCrypto或加密函數(shù)只被初始化一次而不是每次請求都重新eval庫源碼。這就是為什么我們在集合腳本或通過globalThis來緩存它。簡化邏輯檢查你的腳本避免不必要的循環(huán)或復(fù)雜計算。使用Newman對于大規(guī)模的自動化測試建議使用Postman的命令行工具Newman在服務(wù)器上運行其性能通常優(yōu)于圖形化界面的Collection Runner。6.4 常見錯誤與排查清單Error: Malformed UTF-8 data解密后轉(zhuǎn)換UTF-8字符串時出錯。幾乎可以肯定是解密失敗了得到的二進制數(shù)據(jù)根本不是有效的明文。請檢查密鑰、IV、模式、填充、密文格式是否全部與后端一致。Error: Invalid key length密鑰長度不對。AES-128需要16字節(jié)32位HexAES-256需要32字節(jié)64位Hex。SM4固定為16字節(jié)32位Hex。檢查你的密鑰變量是否正確獲取并解析。smCrypto is not definedsm-crypto庫沒有加載成功。檢查全局變量smCryptoLib是否存在且內(nèi)容完整檢查加載代碼的eval或Function構(gòu)造是否正確在腳本開頭加console.log(pm.globals.get(smCryptoLib).substring(0,100))看看是否拿到了庫代碼的前100個字符。后端返回“解密失敗”網(wǎng)絡(luò)抓包對比用Fiddler或Charles抓取一個從客戶端如App發(fā)出的成功請求和你Postman發(fā)出的請求進行對比。重點關(guān)注Body里的密文字符串是否完全一樣。日志輸出在Postman的ConsoleView - Show Postman Console中詳細打印出加密前的明文、使用的密鑰、IV、以及加密后的結(jié)果。將這些信息提供給開發(fā)讓他們用相同的參數(shù)在服務(wù)端解密看是否能成功。檢查請求格式密文是放在JSON的某個字段里還是直接作為Raw文本Content-Type頭是否正確如application/json無法解密響應(yīng)首先確認響應(yīng)體確實是加密的可能是一串規(guī)律的Hex或Base64碼。有些接口錯誤時可能返回明文錯誤信息。先console.log(pm.response.text())看看原始響應(yīng)是什么。如果是加密的再套用解密函數(shù)。將加解密邏輯整合進Postman雖然前期需要一些配置和腳本編寫工作但它所帶來的測試效率提升和流程標(biāo)準(zhǔn)化收益是巨大的。它使得加密接口的測試變得像測試普通明文接口一樣簡單直觀特別適合在敏捷開發(fā)和持續(xù)集成流程中落地。當(dāng)你熟悉了這套模式后無論是面對AES、SM4還是其他加密算法你都能快速構(gòu)建出對應(yīng)的自動化測試方案從容應(yīng)對各種安全接口的測試挑戰(zhàn)。