Postman Pre-request Script实战：用forgeJS实现RSA加解密（附完整代码）

Postman Pre-request Script实战：用forgeJS实现RSA加解密（附完整代码）

在API开发和测试过程中，数据安全传输是至关重要的环节。RSA非对称加密算法因其安全性高、密钥管理方便等特点，成为API接口加密的常见选择。然而，许多开发者在使用Postman进行接口测试时，常常遇到一个棘手问题：Postman内置的JavaScript环境并不直接支持RSA加解密操作。本文将带你深入探索如何通过forgeJS库在Postman的Pre-request Script中实现完整的RSA加解密流程，解决实际测试工作中的加密需求。

1. 为什么需要在Postman中实现RSA加解密

现代API接口越来越重视数据传输的安全性。特别是在金融、医疗、电商等领域，敏感数据的传输必须经过加密处理。RSA算法因其非对称特性，能够很好地解决密钥分发问题：

• 公钥加密：任何人都可以用公钥加密数据，但只有持有私钥的一方才能解密
• 私钥签名：持有私钥的一方可以对数据进行签名，其他人可以用公钥验证签名真实性

在Postman测试这类加密接口时，开发者面临的主要挑战包括：

1. 无法直接生成符合要求的加密参数
2. 难以验证服务端返回的加密数据
3. 手动加密效率低下，影响测试效率

通过Pre-request Script自动完成加密过程，可以显著提升测试效率和准确性。下面是一个典型的RSA加密接口测试流程对比：

2. forgeJS库的引入与初始化

Postman的JavaScript环境基于Node.js，但移除了很多内置模块，包括加密相关功能。forgeJS是一个纯JavaScript实现的加密库，完美适配Postman环境。以下是引入forgeJS的完整方案：

// 检查是否已加载forgeJS if (!pm.globals.has("forgeJS")) { pm.sendRequest({ url: "https://cdn.jsdelivr.net/npm/node-forge@1.3.1/dist/forge.min.js", method: "GET" }, (err, res) => { if (!err) { // 将库代码存入全局变量 pm.globals.set("forgeJS", res.text()); console.log("forgeJS加载完成"); executeCryptoOperations(); // 执行加密操作 } else { console.error("加载forgeJS失败:", err); } }); } else { executeCryptoOperations(); // 如果已加载，直接执行 }

提示：建议使用jsdelivr等CDN地址获取forgeJS，确保加载速度和稳定性。全局变量存储可以避免每次请求重复加载。

3. RSA密钥的生成与管理

在实际项目中，RSA密钥对通常由后端生成并提供公钥给前端。但在测试环境中，我们可能需要自己生成密钥对。以下是使用forgeJS生成RSA密钥对的完整代码：

function generateRSAKeyPair() { const bits = 2048; // 密钥长度 const keypair = forge.pki.rsa.generateKeyPair({bits: bits}); // 获取PEM格式的公私钥 const publicKey = forge.pki.publicKeyToPem(keypair.publicKey); const privateKey = forge.pki.privateKeyToPem(keypair.privateKey); return { publicKey: publicKey, privateKey: privateKey }; } // 示例密钥对 const keys = generateRSAKeyPair(); console.log("公钥:\n", keys.publicKey); console.log("私钥:\n", keys.privateKey);

密钥管理的最佳实践：

• 将公钥存储在Postman的环境变量中，方便团队共享
• 私钥应妥善保管，建议使用Postman的secret变量功能
• 定期轮换测试用的密钥对，模拟生产环境的安全策略

4. 完整RSA加解密实现

下面我们实现一个完整的RSA加解密流程，包括数据准备、加密、解密和结果验证：

function executeCryptoOperations() { // 引入forge库 eval(pm.globals.get("forgeJS")); // 准备测试数据 const testData = { timestamp: new Date().getTime(), userId: "test_user_001", action: "query_balance" }; // 从环境变量获取密钥 const publicKey = pm.environment.get("RSA_PUBLIC_KEY"); const privateKey = pm.variables.get("RSA_PRIVATE_KEY"); // 1. 数据序列化 const jsonString = JSON.stringify(testData); // 2. RSA加密 const encryptedData = (function() { const publicKeyObj = forge.pki.publicKeyFromPem(publicKey); const encryptedBytes = publicKeyObj.encrypt( forge.util.encodeUtf8(jsonString), 'RSA-OAEP', { md: forge.md.sha256.create(), mgf1: { md: forge.md.sha256.create() } } ); return forge.util.encode64(encryptedBytes); })(); // 3. RSA解密 const decryptedData = (function() { const privateKeyObj = forge.pki.privateKeyFromPem(privateKey); const decryptedBytes = privateKeyObj.decrypt( forge.util.decode64(encryptedData), 'RSA-OAEP', { md: forge.md.sha256.create(), mgf1: { md: forge.md.sha256.create() } } ); return forge.util.decodeUtf8(decryptedBytes); })(); // 验证结果 console.log("原始数据:", jsonString); console.log("加密结果:", encryptedData); console.log("解密结果:", decryptedData); // 更新请求体 pm.request.body.update({ mode: 'raw', raw: JSON.stringify({data: encryptedData}) }); }

关键点解析：

1. 加密模式：使用RSA-OAEP填充方案，比PKCS#1 v1.5更安全
2. 哈希算法：统一使用SHA-256，确保一致性
3. 错误处理：实际项目中应添加try-catch块处理可能的加解密异常
4. 性能优化：大数据量时应考虑分段加密或改用对称加密

5. 高级应用场景

掌握了基础加解密后，我们可以扩展更多实用场景：

5.1 接口签名验证

function generateSignature(data, privateKey) { const privateKeyObj = forge.pki.privateKeyFromPem(privateKey); const md = forge.md.sha256.create(); md.update(data, 'utf8'); return forge.util.encode64( privateKeyObj.sign(md) ); } function verifySignature(data, signature, publicKey) { const publicKeyObj = forge.pki.publicKeyFromPem(publicKey); const md = forge.md.sha256.create(); md.update(data, 'utf8'); return publicKeyObj.verify( md.digest().bytes(), forge.util.decode64(signature) ); }

5.2 加密参数自动处理

// 自动加密所有标有#encrypt的参数 const body = pm.request.body.urlencoded; body.each(param => { if (param.key.endsWith('#encrypt')) { const originalKey = param.key.replace('#encrypt', ''); const encryptedValue = rsaEncrypt(param.value, publicKey); body.upsert({ key: originalKey, value: encryptedValue }); body.remove(param); } });

5.3 测试数据加密工厂

function createEncryptedTestData(template) { const result = {}; for (const key in template) { if (typeof template[key] === 'object') { result[key] = createEncryptedTestData(template[key]); } else { result[key] = rsaEncrypt( template[key], pm.environment.get("RSA_PUBLIC_KEY") ); } } return result; } // 使用示例 const testTemplate = { user: { id: "U10001", name: "测试用户" }, order: { id: "O20002", amount: "100.00" } }; const encryptedData = createEncryptedTestData(testTemplate);

6. 常见问题与调试技巧

在实际使用过程中，可能会遇到各种问题。以下是几个常见问题及解决方法：

1. 密钥格式错误：

   • 确保PEM格式正确，包含完整的BEGIN/END标记
   • 检查密钥是否包含不可见字符

2. 数据长度限制：

   // RSA加密的最大数据长度计算 const maxLength = (keySize / 8) - 42; // OAEP填充 console.log("最大加密长度:", maxLength);

3. 性能优化：

   • 对于大数据量，先使用AES加密数据，再用RSA加密AES密钥
   • 缓存密钥对象，避免重复解析PEM

4. 编码问题：

   • 确保加密前后使用相同的编码(UTF-8)
   • Base64编码使用forge.util.encode64/decode64

调试建议：

• 使用Postman的Console面板查看详细日志
• 分步验证：先测试密钥加载，再测试加解密
• 对比其他平台的加密结果，确保一致性

// 调试示例 function debugEncrypt(data) { const step1 = forge.util.encodeUtf8(data); console.log("Step1 - UTF8编码:", step1.length); const step2 = publicKey.encrypt(step1); console.log("Step2 - 加密后:", step2.length); const step3 = forge.util.encode64(step2); console.log("Step3 - Base64:", step3.length); return step3; }

7. 安全最佳实践

在测试环境中同样需要重视安全：

• 密钥存储：

  • 公钥可以存储在环境变量中
  • 私钥应使用Postman的Secret类型变量
  • 避免在代码中硬编码密钥

• 请求安全：

  • 为加密请求添加时间戳和nonce防止重放攻击
  • 敏感参数即使加密也应避免通过URL传递

• 日志控制：

  // 生产模式关闭敏感日志 if (pm.environment.get("ENV_MODE") !== "production") { console.log("敏感数据:", data); }

• 定期更新：

  • 关注forgeJS的安全更新
  • 定期更换测试密钥对
  • 及时更新Postman到最新版本

8. 完整代码整合

将所有功能整合成一个完整的Pre-request Script示例：

try { // 加载forgeJS if (!pm.globals.has("forgeJS")) { pm.sendRequest({ url: "https://cdn.jsdelivr.net/npm/node-forge@1.3.1/dist/forge.min.js", method: "GET" }, (err, res) => { if (!err) { pm.globals.set("forgeJS", res.text()); main(); } else { throw new Error("加载forgeJS失败"); } }); } else { main(); } function main() { eval(pm.globals.get("forgeJS")); // 配置 const config = { algorithm: 'RSA-OAEP', hash: forge.md.sha256.create(), label: null }; // 获取密钥 const publicKey = pm.environment.get("RSA_PUBLIC_KEY"); const privateKey = pm.variables.get("RSA_PRIVATE_KEY"); // 准备请求数据 const requestData = prepareRequestData(); // 加密数据 const encryptedData = rsaEncrypt( JSON.stringify(requestData), publicKey, config ); // 设置请求头 pm.request.headers.upsert({ key: 'X-Encrypted-Data', value: 'true' }); // 更新请求体 pm.request.body.update({ mode: 'raw', raw: JSON.stringify({ data: encryptedData, timestamp: new Date().getTime() }) }); } function prepareRequestData() { // 从请求参数收集数据 const params = pm.request.url.query.toObject(); const body = pm.request.body.toObject(); return { ...params, ...body, nonce: generateNonce() }; } function generateNonce() { return forge.util.bytesToHex(forge.random.getBytes(16)); } function rsaEncrypt(data, publicKey, config) { const publicKeyObj = forge.pki.publicKeyFromPem(publicKey); const encryptedBytes = publicKeyObj.encrypt( forge.util.encodeUtf8(data), config.algorithm, { md: config.hash, mgf1: { md: config.hash }, label: config.label } ); return forge.util.encode64(encryptedBytes); } } catch (error) { console.error("Pre-request Script错误:", error); throw error; }

这个完整实现包含了异常处理、请求数据处理、加密配置等生产级功能，可以直接用于实际项目测试。根据具体需求，可以进一步扩展或调整各部分功能。