在Ubuntu中使用Postman进行数据加密

在数据传输过程中，安全性是首要考虑的问题。对于在Ubuntu环境下使用Postman进行API测试或开发的工程师来说，直接发送明文数据显然不够稳妥。那么，如何利用Postman内置的功能，为请求数据加上一把“安全锁”呢？其实，通过Pre-request Script脚本，我们可以轻松实现AES或RSA等主流加密算法，让敏感信息在传输前就完成加密转换。

使用Pre-request Script进行AES加密

AES加密因其高效和安全性，在对称加密场景中应用广泛。在Postman中实现它，只需要三步。

1. 准备加密库：首先，确保你的环境中安装了CryptoJS库。打开终端，执行以下命令即可：

   npm install crypto-js

2. 编写加密脚本：接下来是核心步骤。在Postman请求的“Pre-request Script”标签页中，引入库并编写加密函数。这里以CBC模式为例：

   const CryptoJS = require(“crypto-js”);
   function aesEncrypt(content, key) {
   const iv = CryptoJS.enc.Utf8.parse(‘0000000000000000’); // 初始化向量
   const encrypted = CryptoJS.AES.encrypt(content, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 });
   return encrypted.toString();
   }
   // 示例：加密请求参数
   var user = “admin”;
   var encryptedUser = aesEncrypt(user, “your-secret-key”);
   pm.environment.set(“encryptedUser”, encryptedUser);

   这段代码的作用很清晰：定义一个AES加密函数，然后对“admin”这个字符串进行加密，并将加密后的结果存入一个名为encryptedUser的环境变量中。密钥和初始向量（IV）需要根据你的实际安全规范进行配置。

3. 应用加密数据：最后，在请求的Body（比如JSON格式）中，就可以使用{{encryptedUser}}这个变量来动态替换并发送加密后的数据了。这样一来，网络上流传的就不再是明文“admin”，而是一串无法直接识别的密文。

使用RSA加密

当需要非对称加密，或者与使用公钥加密的服务端交互时，RSA是更合适的选择。在Postman中配置RSA加密，过程同样不复杂。

1. 动态加载RSA库：由于Postman环境可能未预装RSA库，我们可以通过脚本动态加载一个可靠的实现，例如forge.js：

   if (!pm.globals.has(“forgeJS”)) {
   pm.sendRequest(“https://raw.githubusercontent.com/loveiset/RSAForPostman/master/forge.js”, function (err, res) {
   if (!err) {
   pm.globals.set(“forgeJS”, res.text());
   }
   });
   }

   这段脚本会检查全局变量中是否已存在库文件，如果没有，则从远程地址获取并保存，避免重复加载。

2. 执行RSA加密：库准备就绪后，就可以编写RSA加密函数了：

   function rsaEncrypt(content, publicKey) {
   const encryptedText = forge.pki.publicKeyFromPem(publicKey);
   const encrypted = encryptedText.encrypt(content, ‘RSAES-PKCS1-V1_5’, { md: forge.md.sha1.create(), mgf: forge.mgf.mgf1.create() });
   return encrypted.toString();
   }
   // 示例：加密请求参数
   var data = “sensitive data”;
   var encryptedData = rsaEncrypt(data, pm.globals.get(“RSA_Public_Key”));
   pm.environment.set(“encryptedData”, encryptedData);

   这里的关键在于，你需要将服务端提供的RSA公钥预先存入Postman的全局变量RSA_Public_Key中。脚本会读取该公钥并对数据进行加密。

3. 发送密文：与AES步骤类似，加密后的数据存储在encryptedData环境变量中，在请求Body中通过{{encryptedData}}引用即可完成发送。

注意事项

方法虽好，但细节决定安全成败。实施过程中有几个关键点必须牢记：

• 保护密钥：无论是AES的密钥和初始化向量，还是RSA的公私钥，都切忌直接硬编码在脚本里。最佳实践是将其存储在Postman的环境变量或全局变量中，并利用变量作用域和及时清理来管理。
• 管理公钥：使用RSA加密时，确保获取公钥的渠道是安全可信的。公钥虽可公开，但若被篡改，整个加密通信就失去了意义。
• 清理痕迹：敏感数据加密发送后，建议在Tests脚本中或下一个请求前，主动清除环境变量中暂存的明文或密文，防止在协作环境中意外泄露。

总而言之，通过灵活运用Pre-request Script，我们完全可以在Ubuntu上的Postman里构建一套自动化的数据加密流程。这不仅能显著提升API测试和调试过程中的数据安全性，也更贴合现代应用开发对数据传输的安全规范要求。