1. 项目概述为什么要在Postman里折腾RSA如果你经常和需要身份认证或数据加密的API打交道尤其是那些金融、支付或涉及敏感数据的接口那么“RSA非对称加密”这个词你一定不陌生。开发文档里经常会要求在调用某个关键接口前需要先用对方的公钥对请求参数比如一个时间戳加随机数进行加密生成一个签名串然后把这个签名放在请求头里一起发过去。服务器端再用自己的私钥解密验证通过后才放行。这个流程本身很标准问题在于开发与测试的割裂。后端同学可能随手写个Java或Python的单元测试几行代码就搞定了加密。但前端、测试或者负责接口联调的同学在Postman里却犯了难Postman自带的CryptoJS库功能有限不支持RSA。难道每次调试都要去写个临时脚本或者求后端同事帮忙生成一个签名吗这效率太低了也完全不符合自动化测试和持续集成的理念。于是ForgeJS这个纯JavaScript实现的加密库就成了我们的救星。它足够轻量、功能全面并且能在Postman的沙盒环境中完美运行。通过在Pre-request Script预请求脚本中集成ForgeJS我们就能在发送请求前的那一刻动态地完成RSA加密、签名生成等所有操作让Postman真正成为一个能处理复杂安全协议的测试利器。这个实战项目就是要解决这个痛点让你在Postman里也能优雅、高效地处理RSA加解密。2. 核心思路与ForgeJS选型解析2.1 传统方案的局限与ForgeJS的优势在找到ForgeJS之前常见的“土办法”有这么几种手动预计算先用外部工具生成加密后的字符串然后硬编码到Postman的环境变量或请求参数里。缺点显而易见任何参数的变动都需要重新计算毫无灵活性且暴露了静态的加密结果不安全也不专业。使用Postman的CryptoJSPostman沙盒内置了CryptoJS但它主要支持AES、DES、SHA等对称加密和哈希算法对RSA这种非对称加密的支持是缺失的。这条路走不通。调用外部本地脚本通过Postman的pm.sendRequest曲线救国调用一个本地启用的HTTP服务该服务执行加密并返回结果。这增加了架构的复杂性需要额外维护一个服务且受网络环境影响。ForgeJS的出现完美规避了上述问题。它是一个用JavaScript编写的完整加密工具套件支持TLS以及包括RSA、AES、DES、SHA在内的多种算法。其核心优势在于纯前端/Node.js环境不依赖任何原生模块完全在JavaScript引擎中运行这与Postman的沙盒环境基于Node.js百分百兼容。功能完备不仅支持RSA的加密/解密还支持密钥生成、PKCS#1/PKCS#8格式密钥的导入导出、签名与验签甚至能处理X.509证书。轻量级我们可以只提取项目中需要的RSA相关模块通过一个CDN链接引入对Postman脚本的体积影响微乎其微。社区活跃作为一个成熟的开源项目其稳定性和可靠性经过长期检验。选择ForgeJS意味着我们可以在Postman内部建立一个自包含、可动态执行的加密能力这是实现自动化、参数化测试的关键一步。2.2 整体实现架构设计我们的目标是在Postman的Pre-request Script中实现一个可配置、可复用的RSA加密流程。整体架构设计如下环境配置层我们将公钥、私钥如果需要解密或签名、待加密的原始数据模板等存储在Postman的环境变量或全局变量中。这样做的好处是密钥与脚本逻辑分离便于在不同环境测试、预生产间切换也避免了密钥硬编码在脚本中的安全风险。脚本加载层在Pre-request Script的开头通过pm.sendRequest动态地从CDN加载ForgeJS的UMD打包文件。这是一个关键技巧因为Postman脚本不能直接require外部npm模块。核心逻辑层加载ForgeJS后脚本中就有了全局的forge对象。我们编写函数从环境变量中读取公钥并按照接口要求的方式如PKCS#1构造加密对象对动态拼接的请求参数进行加密。请求集成层将加密后的结果通常是Base64字符串通过pm.request.headers.add()或pm.request.body.raw等方式设置到即将发出的HTTP请求的头部或体部。结果处理层可选对于测试响应中的加密数据我们可以在Tests脚本中编写对应的解密逻辑用于验证返回数据的正确性形成测试闭环。这个架构确保了加密过程的动态性、安全性和可维护性。3. 实战准备环境配置与ForgeJS引入3.1 密钥与参数的环境变量设置首先我们得把那些敏感和易变的信息从脚本里挪出来。在Postman中点击眼睛图标旁边的“环境”快速查看或者直接进入“Environments”管理面板。假设我们有一个名为“RSA_Test_Env”的环境我们需要设置以下变量rsa_public_key: 这是接口提供方给你的公钥。通常是一段PEM格式的字符串以-----BEGIN PUBLIC KEY-----开头。注意直接复制时换行符\n可能会丢失导致密钥解析失败。一个稳妥的做法是将整个PEM块作为一个字符串值粘贴进去。Postman变量支持多行文本。plain_text_template: 待加密的原始字符串模板。例如一个常见的签名规则是appIdxxxtimestampxxxnoncexxx。这里的xxx部分我们可以用Postman的动态变量{{timestamp}}、{{$guid}}生成UUID来替代实现动态生成。encrypted_header_name: 加密后字符串需要放在哪个请求头里比如X-Signature。重要提示关于私钥的存储如果你的脚本还需要用私钥解密或签名例如模拟服务端验证那么私钥rsa_private_key也必须存储在环境变量中。但这存在极高的安全风险因为Postman环境可能被导出、共享。对于测试环境尚可接受对于生产环境的私钥绝对禁止存入。一个更安全的做法是解密/验签操作仅在受控的后端测试服务中进行Postman只负责用公钥加密。3.2 在Pre-request Script中动态加载ForgeJS这是整个项目的第一个技术难点。Postman的脚本环境是隔离的沙盒我们不能直接用script标签也不能require(‘node-forge‘)。但我们可以利用Postman提供的pm.sendRequest函数发起一个同步的HTTP GET请求去获取ForgeJS的源码并执行。我们选择从jsdelivr这个可靠的CDN加载Forge的UMD构建版本。以下代码是Pre-request Script的起始部分// 1. 检查forge是否已加载避免重复加载 if (!pm.globals.has(forge_loaded) || pm.globals.get(forge_loaded) ! true) { // 2. 同步加载ForgeJS库 const forgeUrl ‘https://cdn.jsdelivr.net/npm/node-forge1.3.1/dist/forge.min.js‘; // pm.sendRequest 默认是异步的我们需要用同步方式 const request new Promise((resolve, reject) { pm.sendRequest({ url: forgeUrl, method: ‘GET‘, }, function (err, response) { if (err) { reject(err); } else { // 3. 关键步骤将获取到的JS代码字符串在当前沙盒上下文中执行 eval(response.text()); // 4. 设置全局标记表示已加载 pm.globals.set(‘forge_loaded‘, true); resolve(); } }); }); // 使用Promise确保同步执行在Postman的同步上下文中这样处理 // 注意更严谨的做法可能需要利用Postman的setTimeout模拟等待但此方法在大多数场景下有效。 // 这里我们简化处理实际复杂场景可考虑将核心逻辑封装在回调里。 console.log(‘正在加载ForgeJS...‘); // 在实际脚本中由于Pre-request Script并非完全同步后续操作应放在回调或使用async/await如果Postman支持中。 // 下面提供一个更稳定、推荐的做法 } // 由于上述完全同步化较复杂这里给出一个更实用、稳定的模式 // 我们将加载和主要逻辑封装成一个自执行函数 (function() { const forgeUrl ‘https://cdn.jsdelivr.net/npm/node-forge1.3.1/dist/forge.min.js‘; // 如果全局对象中已存在forge则直接使用 if (typeof forge ! ‘undefined‘) { console.log(‘ForgeJS已就绪‘); executeRSAEncryption(); } else { console.log(‘开始加载ForgeJS库‘); pm.sendRequest(forgeUrl, function (err, response) { if (err) { console.error(‘加载ForgeJS失败:‘, err); return; } // 执行库代码 eval(response.text()); console.log(‘ForgeJS加载并执行完毕‘); // 加载完成后执行我们的加密函数 executeRSAEncryption(); }); } })(); // 你的核心加密函数需要定义在这个自执行函数外部或内部确保在forge可用后被调用 function executeRSAEncryption() { // 加密逻辑写在这里见下一节 console.log(‘开始执行加密流程...‘); }这段代码的核心是eval(response.text())。它将从CDN下载的整个ForgeJS库代码字符串在当前脚本的全局作用域内执行从而创建出forge这个全局对象。我们用一个自执行函数和条件判断来优化加载流程避免每次请求都重复加载库文件。4. 核心加密逻辑实现与参数处理4.1 解析PEM格式公钥并创建加密器加载完ForgeJS后我们就可以使用forge对象了。第一步是从环境变量中取出PEM格式的公钥字符串并把它转换成Forge能理解的公钥对象。function executeRSAEncryption() { // 1. 从环境变量获取公钥 const publicKeyPem pm.environment.get(‘rsa_public_key‘); if (!publicKeyPem) { console.error(‘环境变量中未找到 rsa_public_key‘); return; } // 2. 尝试解析公钥 let publicKey; try { // forge.pki.publicKeyFromPem 是核心API用于解析PEM格式公钥 publicKey forge.pki.publicKeyFromPem(publicKeyPem); console.log(‘公钥解析成功‘); } catch (keyErr) { console.error(‘公钥解析失败请检查PEM格式是否正确确保包含完整的BEGIN/END标记以及换行符:‘, keyErr.message); // 常见问题PEM字符串中的换行符被移除。可以尝试修复 // const fixedPem publicKeyPem.replace(/\\n/g, ‘\n‘).replace(/\\r/g, ‘‘); // publicKey forge.pki.publicKeyFromPem(fixedPem); return; } // 3. 准备待加密的原始数据 // 从模板中获取并替换动态变量 let plainText pm.environment.get(‘plain_text_template‘); // 替换动态变量例如时间戳和随机数 const timestamp Math.floor(Date.now() / 1000); // 当前Unix时间戳秒 const nonce pm.variables.replaceIn(‘{{$guid}}‘).replace(/-/g, ‘‘).substring(0, 16); // 生成16位随机字符串 plainText plainText.replace(‘{{timestamp}}‘, timestamp) .replace(‘{{nonce}}‘, nonce); // 你也可以使用更强大的pm.variables.replaceIn()一次性替换所有变量 // plainText pm.variables.replaceIn(plainText); console.log(‘待加密字符串:‘, plainText); // 4. 执行RSA加密 // Forge的RSA加密默认使用PKCS#1 v1.5填充方案这是最常见的用法。 // 加密操作接受一个Buffer或字节数组。 const encryptedData publicKey.encrypt(plainText, ‘RSA-OAEP‘); // 这里使用了更安全的OAEP填充方式 // 5. 将加密后的二进制数据转换为Base64字符串网络传输常用 const encryptedBase64 forge.util.encode64(encryptedData); console.log(‘加密后的Base64:‘, encryptedBase64); // 6. 将加密结果设置为请求头 const headerName pm.environment.get(‘encrypted_header_name‘) || ‘X-Signature‘; pm.request.headers.add({ key: headerName, value: encryptedBase64 }); // 7. 可选将动态生成的时间戳、随机数也设置为环境变量供请求体或其他地方使用 pm.environment.set(‘current_timestamp‘, timestamp); pm.environment.set(‘current_nonce‘, nonce); pm.environment.set(‘current_signature‘, encryptedBase64); // 存储签名供后续断言使用 }关键点解析forge.pki.publicKeyFromPem这个方法是桥梁把文本格式的PEM密钥转换成可进行数学运算的密钥对象。如果解析失败99%的原因是PEM格式不规范尤其是换行符问题。填充方案代码中使用了‘RSA-OAEP‘作为加密参数。这是比传统的‘RSAES-PKCS1-V1_5‘即PKCS#1 v1.5更安全、抗攻击能力更强的填充方案。你必须与接口提供方确认他们使用的具体填充方案否则服务器端将无法解密。如果不指定Forge默认使用PKCS#1 v1.5。编码加密输出是二进制数据字节数组。为了在HTTP文本协议中传输必须进行编码。Base64是最通用、最可靠的选择。切勿直接尝试将二进制数据转为字符串。4.2 处理更复杂的加密场景分段加密与混合加密RSA算法本身有长度限制。例如一个2048位的密钥256字节在使用OAEP填充时能加密的明文长度会更少可能只有几百字节。如果你需要加密一个很长的JSON字符串怎么办方案一RSA分段加密理论上可以对长文本分块加密但实践中RSA速度慢且管理分块很麻烦不推荐用于加密长数据。RSA的典型用途是加密一个随机的对称密钥如AES密钥。方案二RSAAES混合加密更符合实际生产场景这才是处理大量数据加密的标准做法。我们在Pre-request Script中也可以模拟function executeHybridEncryption() { const publicKeyPem pm.environment.get(‘rsa_public_key‘); const publicKey forge.pki.publicKeyFromPem(publicKeyPem); // 1. 随机生成一个AES密钥例如256位和初始化向量(IV) const aesKey forge.random.getBytesSync(32); // 32字节 256位 const iv forge.random.getBytesSync(16); // 16字节 128位用于CBC模式 // 2. 用RSA公钥加密这个AES密钥 const encryptedAesKey publicKey.encrypt(aesKey, ‘RSA-OAEP‘); const encryptedAesKeyBase64 forge.util.encode64(encryptedAesKey); // 3. 使用生成的AES密钥和IV加密实际的业务数据明文 const cipher forge.cipher.createCipher(‘AES-CBC‘, aesKey); cipher.start({iv: iv}); const plainText pm.environment.get(‘long_json_data‘) || ‘{}‘; cipher.update(forge.util.createBuffer(plainText, ‘utf8‘)); cipher.finish(); const encryptedData cipher.output; const encryptedDataBase64 forge.util.encode64(encryptedData.data); const ivBase64 forge.util.encode64(iv); // 4. 将加密后的AES密钥、IV和加密数据按照约定格式组装例如JSON const requestBody { key: encryptedAesKeyBase64, iv: ivBase64, data: encryptedDataBase64, // 可能还有其他字段如加密算法标识 ‘cipher‘: ‘AES-256-CBC‘ }; // 5. 设置请求体为这个JSON pm.request.body.update({ mode: ‘raw‘, raw: JSON.stringify(requestBody), options: { raw: { language: ‘json‘ } } }); console.log(‘混合加密完成AES密钥已用RSA加密‘); }这种混合加密方式兼具了RSA的安全性和AES的效率是传输大量加密数据的标准实践。在Postman中实现它意味着你能测试更接近生产环境的复杂加密接口。5. 解密与签名验证的实现Pre-request Script主要用于请求前的处理但完整的测试闭环还包括对响应的验证。我们可以在Postman的Tests标签页中编写脚本对服务器返回的加密数据进行解密或验签。5.1 在Tests脚本中解密响应数据假设接口返回的数据结构里包含了一个用我们公钥对应的私钥加密过的字段encrypted_response。// 在Tests脚本中 // 首先确保ForgeJS已加载可以复用Pre-request中的加载逻辑或假设已加载 if (typeof forge ‘undefined‘) { console.error(‘Tests: ForgeJS未加载无法解密‘); } else { // 1. 获取响应中的加密数据 const responseData pm.response.json(); const encryptedBase64 responseData.encrypted_response; if (!encryptedBase64) { console.log(‘响应中无加密字段‘); return; } // 2. 从环境变量获取私钥 (!!! 安全警告测试环境专用 !!!) const privateKeyPem pm.environment.get(‘rsa_private_key‘); if (!privateKeyPem) { console.error(‘Tests: 未找到私钥无法解密‘); return; } try { const privateKey forge.pki.privateKeyFromPem(privateKeyPem); // 3. 将Base64响应解码为二进制 const encryptedBytes forge.util.decode64(encryptedBase64); // 4. 使用私钥解密 (填充方式必须与加密时一致) const decryptedBytes privateKey.decrypt(encryptedBytes, ‘RSA-OAEP‘); // 5. 将解密后的二进制数据转为UTF-8字符串 const decryptedText forge.util.decodeUtf8(decryptedBytes); console.log(‘解密后的响应内容:‘, decryptedText); // 6. 可选将解密后的内容解析为JSON并进行断言 const decryptedJson JSON.parse(decryptedText); pm.expect(decryptedJson.status).to.eql(‘success‘); // 也可以将解密结果存入环境变量供后续请求使用 pm.environment.set(‘decrypted_response‘, decryptedText); } catch (decryptErr) { console.error(‘解密过程失败:‘, decryptErr.message); // 可能原因填充方式不匹配、密钥不对、或数据在传输中被破坏 } }5.2 RSA签名与验签流程有些接口不直接加密数据而是用私钥对数据的摘要如SHA256进行签名接收方用公钥验签来确保数据完整性和来源可信。这在Postman中同样可以模拟。在Pre-request Script中生成签名function generateSignature() { const privateKeyPem pm.environment.get(‘rsa_private_key‘); // 签名需要私钥 const privateKey forge.pki.privateKeyFromPem(privateKeyPem); const dataToSign pm.environment.get(‘data_to_sign‘); // 1. 创建数据的SHA256摘要 const md forge.md.sha256.create(); md.update(dataToSign, ‘utf8‘); // 2. 用私钥对摘要进行签名 const signature privateKey.sign(md); const signatureBase64 forge.util.encode64(signature); pm.request.headers.add({key: ‘X-Signature‘, value: signatureBase64}); console.log(‘生成的签名:‘, signatureBase64); }在Tests脚本中验证签名// 验证服务器返回的数据签名 const responseBodyString pm.response.text(); const receivedSignatureBase64 pm.response.headers.get(‘X-Signature‘); const publicKeyPem pm.environment.get(‘rsa_public_key‘); const publicKey forge.pki.publicKeyFromPem(publicKeyPem); const md forge.md.sha256.create(); md.update(responseBodyString, ‘utf8‘); const isVerified publicKey.verify(md.digest().bytes(), forge.util.decode64(receivedSignatureBase64)); console.log(‘签名验证结果:‘, isVerified); pm.expect(isVerified).to.be.true; // 如果验签失败则测试不通过6. 常见问题、调试技巧与性能优化6.1 高频问题排查清单在集成过程中你几乎一定会遇到下面这些问题。这里提供一个快速排查指南问题现象可能原因解决方案Error: Could not parse key1. PEM格式错误缺少BEGIN/END标记。2. 换行符丢失从文档复制时常见。3. 密钥类型不匹配如误将私钥当公钥用。1. 检查PEM字符串是否完整。2. 在脚本中修复换行符keyPem.replace(/\\n/g, ‘\n‘)。3. 使用forge.pki.privateKeyFromPem解析私钥。加密后服务器无法解密1.填充方案不匹配最常见。2. 编码不一致服务器期望Hex而非Base64。3. 待加密数据格式或编码与服务器预期不符。1.与接口提供方确认填充方案PKCS#1 v1.5 或 OAEP。2. 统一编码格式通常Base64是安全的。3. 确保待加密字符串与服务器生成签名/加密的规则完全一致包括参数顺序、空格、大小写。eval加载ForgeJS失败1. CDN链接不可用或网络问题。2. Postman沙盒策略限制极罕见。1. 尝试其他CDN如unpkg。2. 将ForgeJS的min.js代码本地保存然后以字符串形式嵌入脚本不推荐脚本会很长。3. 检查Console是否有CSP内容安全策略错误。加密结果每次不同如果使用OAEP填充这是正常的因为它使用了随机数。RSA PKCS#1 v1.5填充下相同明文加密结果相同。这是特性不是bug。OAEP的随机性增强了安全性。只要密钥和填充方式正确服务器都能解密。性能感觉慢在Pre-request Script中同步加载和运行一个JS库尤其是RSA加密本身是CPU密集型操作会有可感知的延迟。1. 确保ForgeJS只加载一次使用全局变量标记。2. 对于非必要场景考虑简化加密逻辑。3. 这是测试工具轻微延迟通常可接受。6.2 调试与日志输出技巧Postman的ConsoleView - Show Postman Console是你的最佳朋友。在脚本中大量使用console.log()来输出关键节点的数据console.log(‘公钥字符串:‘, publicKeyPem);– 检查密钥是否被正确读取。console.log(‘待加密原文:‘, plainText);– 确认拼接后的字符串是否符合预期。console.log(‘加密后长度:‘, encryptedBase64.length);– Base64长度有个大概范围2048位密钥加密后Base64长度约344字符异常值可能意味着加密失败。在try-catch块中捕获错误并用console.error打印出来。6.3 脚本管理与性能优化建议模块化与复用如果你有多个请求都需要RSA加密不要在每个请求的Pre-request Script里都复制粘贴完整代码。可以将加载ForgeJS和核心加密函数写在集合级别的Pre-request Script中。这样集合内的所有请求共享这段代码只需加载一次库。或者将通用函数保存在Postman的全局脚本中虽然管理稍复杂。密钥管理永远不要将生产环境的私钥提交到版本控制系统或分享集合。使用环境变量并且区分“测试环境”和“生产环境”。对于团队协作可以利用Postman的“Mock Servers”或“Environment Templates”来安全地分享配置而不暴露真实密钥。错误处理脚本中必须有充分的错误处理try-catch。一个未捕获的异常可能导致整个Pre-request Script停止请求发出时缺少必要的签名头从而使得调试更加困难。异步操作注意pm.sendRequest加载ForgeJS是异步的。我们的示例通过将后续逻辑放在回调函数中来处理。确保你的加密操作在ForgeJS加载完成之后才执行。示例中的自执行函数模式是一个清晰的结构。通过这套完整的方案你将能把Postman从一个简单的HTTP客户端升级为一个能够处理复杂企业级安全协议的专业测试工具。它不仅仅是为了通过一次测试更是为了建立一套可重复、可自动化、易于维护的接口安全测试流程。下次再遇到带RSA签名的接口时你大可以自信地打开Postman而不是四处寻找临时的加密工具了。
