Ubuntu系统Postman数据加密配置与实战教程

一、安全基础与加密原理说明

在Ubuntu操作系统中为Postman配置数据加密，主要涵盖两个关键维度：一是对API请求参数进行业务层加密（如采用AES、RSA、Base64或MD5算法），二是在网络传输层启用HTTPS协议或配置SSL客户端证书。前者通过编写预请求脚本在发送前动态处理数据，后者则需在Postman设置中导入数字证书文件。这两种加密方式可协同使用，形成端到端的安全防护体系。

需要明确的是，客户端加密的核心作用在于保障“数据在传输通道中的机密性”，它不能替代服务端必须实现的身份验证、数字签名校验等安全机制。此外，必须遵循关键安全准则：绝对禁止将加密密钥、初始向量（IV）等敏感信息直接写入脚本代码。推荐将其存储在Postman的环境变量或集合变量中，在条件允许的情况下，建议集成外部密钥管理系统（如HashiCorp Vault）实现更高级别的密钥保护。

二、请求参数加密实现步骤

首先完成基础配置。在Postman的集合变量或环境变量中，预先设置加密所需的密钥变量，例如 aes_key、aes_iv、RSA_Public_Key。在请求体或参数中，使用变量占位符（如 {{encryptedData}}）标记需要加密的数据字段。

接下来具体实现加密逻辑。对于对称加密场景，以AES-CBC模式配合PKCS7填充方案为例，可通过CryptoJS库实现：

// Pre-request Script
const CryptoJS = require('crypto-js');

function aesEncrypt(content, key, iv) {
    const k = CryptoJS.enc.Utf8.parse(key);
    const i = CryptoJS.enc.Utf8.parse(iv);
    return CryptoJS.AES.encrypt(content, k, { iv: i, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }).toString();
}

const plain = pm.environment.get('plainText') || 'admin';
const key = pm.environment.get('aes_key'); // 注意密钥长度需为16/24/32字节
const iv = pm.environment.get('aes_iv'); // IV长度需为16字节
pm.environment.set('encryptedData', aesEncrypt(plain, key, iv));

对于非对称加密场景，如RSA加密，可采用forge.js库。为提高效率，可将库文件缓存至全局变量避免重复加载：

// Pre-request Script
if (!pm.globals.has('forgeJS')) {
    pm.sendRequest('https://raw.githubusercontent.com/loveiset/RSAForPostman/master/forge.js', (err, res) => {
        if (!err) pm.globals.set('forgeJS', res.text());
    });
    return; // 首次运行会加载库，本次请求跳过加密，下次即可生效
}
eval(pm.globals.get('forgeJS'));

function rsaEncrypt(content, pubPem) {
    const pub = forge.pki.publicKeyFromPem(pubPem);
    return forge.util.encode64(pub.encrypt(content, 'RSAES-PKCS1-V1_5', {
        md: forge.md.sha1.create(),
        mgf: forge.mgf.mgf1.create(forge.md.sha1.create())
    }));
}

const data = pm.environment.get('plainText') || 'admin';
const pub = pm.environment.get('RSA_Public_Key'); // 确保是PEM格式的公钥
pm.environment.set('encryptedData', rsaEncrypt(data, pub));

脚本执行后，加密结果将存入指定变量。在请求的Body或Params中直接引用 {{encryptedData}}，Postman会在发送前自动替换为加密后的密文内容。

三、动态字段加密与批量处理方案

当需要加密的请求字段数量较多时，逐个编写加密脚本效率低下。此时可采用“动态占位符”方案进行批量处理。定义一套语法规则，例如在需要加密的字段值中标注 {{aes$varName}} 或 {{rsa$varName}} 格式，通过统一的预处理脚本自动识别并完成加密替换。

以下为集合级别Pre-request Script的参考实现，可供该集合下所有请求复用：

// 动态占位与批量加密
function getBracketStr(t) {
    const m = t.match(/\{\{(.+?)\}\}/);
    return m ? m[1] : '';
}

// 按需加载并缓存forge.js
if (!pm.globals.has('forgeJS')) {
    pm.sendRequest('https://raw.githubusercontent.com/loveiset/RSAForPostman/master/forge.js', (err, res) => {
        if (!err) pm.globals.set('forgeJS', res.text());
    });
    return;
}
eval(pm.globals.get('forgeJS'));

// 定义加密函数
const aesEncrypt = (c, k, i) => {
    const K = CryptoJS.enc.Utf8.parse(k),
          I = CryptoJS.enc.Utf8.parse(i);
    return CryptoJS.AES.encrypt(c, K, { iv: I, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }).toString();
};
const rsaEncrypt = (c, p) => {
    const P = forge.pki.publicKeyFromPem(p);
    return forge.util.encode64(P.encrypt(c, 'RSAES-PKCS1-V1_5', {
        md: forge.md.sha1.create(),
        mgf: forge.mgf.mgf1.create(forge.md.sha1.create())
    }));
};

// 遍历请求数据和请求头，查找并处理占位符
const payload = typeof request.data === 'string' ? JSON.parse(request.data) : request.data || {};
const headers = request.headers ? Object.assign({}, request.headers) : {};
const all = Object.assign({}, payload, headers);

Object.keys(all).forEach(k => {
    const v = String(all[k]);
    const m = getBracketStr(v);
    if (!m) return;

    const [alg, src] = m.split('$');
    let enc = '';
    if (alg === 'aes') {
        enc = aesEncrypt(pm.environment.get(src), pm.environment.get('aes_key'), pm.environment.get('aes_iv'));
    } else if (alg === 'rsa') {
        enc = rsaEncrypt(pm.environment.get(src), pm.environment.get('RSA_Public_Key'));
    }

    if (enc) {
        // 替换回原位置
        if (payload[k]) payload[k] = enc;
        else headers[k] = enc;
        // 将加密结果也存入环境变量，方便调试和后续使用
        pm.environment.set(m, enc);
    }
});

注意：脚本首次执行时会从网络加载forge.js库文件，可能导致当次请求的加密流程被跳过。这属于正常现象，重新发送请求即可正常完成加密操作。

四、SSL客户端证书与HTTPS传输配置

除了参数加密，确保传输链路安全同样重要。在Postman中配置SSL客户端证书的流程如下：点击顶部菜单 File → Settings，在设置面板中切换到 General 选项卡，定位到 SSL certificate verification 区域。点击 Add Certificate 按钮，根据指引上传CRT或PFX格式的证书文件，并输入对应的私钥密码（如证书受密码保护）。完成配置后，所有发送至 https:// 域名的请求都将自动附加该客户端证书，实现与服务端的双向身份认证。

五、故障排查与安全最佳实践

在实际部署过程中，可能会遇到一些典型问题。例如首次请求时控制台提示“forge.js 未定义”，这是由于脚本的按需加载机制所致。忽略此次错误，重新发送请求即可解决。若追求更高稳定性，可将forge.js库下载至本地，并修改脚本指向本地文件路径进行加载。

关于密钥管理，应遵循以下核心原则：第一，杜绝硬编码，全面采用环境变量与集合变量进行集中化管理；第二，为AES-CBC算法配置符合安全强度的密钥与IV（建议分别采用16/24/32字节和16字节长度），并确保与服务端的加密配置完全匹配。

同时需注意编码格式兼容性：RSA加密输出通常需转换为Base64格式以便网络传输；但需明确Base64仅为编码方式而非加密算法，敏感数据必须经过强加密后再进行Base64编码。若请求体为JSON格式，务必确保加密后的数据仍是合法的JSON字符串后再进行赋值操作。

最后，建议养成安全操作习惯：在请求的Tests脚本中，适时清理临时存储的敏感变量。例如使用 pm.environment.unset('encryptedData') 清除加密后的数据，这能有效降低敏感信息在本地环境意外泄露的风险。