Context 类接口

Context 类包含当前请求信息和服务器信息

获取请求路径

绝对路径，不包含 Query String

  1. context.path
  2. // => '/my/article.jsp'

获取 Query String

返回URL参数

  1. context.querystring
  2. // => 'offset=10&size=10'

获取请求方法

字母为小写

  1. context.method
  2. // => 'get'

获取请求协议

  1. context.protocol
  2. // => 'https'

获取请求头

获取当前请求的headers，其中key的名字均为小写

  1. context.header
  2. // => {
  3. //   'user-agent': 'Chrome',
  4. //   'content-type': 'application/json'
  5. //   ...
  6. // }

获取请求体

仅返回请求体原始数据的前4KB，类型为 ArrayBuffer

因受到服务器限制，插件系统不保证一定能够获取到请求体原始数据。在Java应用下面，只有应用读取了body，插件才能获取到。

  1. context.body
  2. // => ArrayBuffer

获取、修改 session

注意

  • 这个函数会直接操作 Java / PHP 的 session，请谨慎使用
  • 若获取到对象并不是字符串类型，会转换为字符串返回
    1. context.session.setSession('_rasp_username', 'Hello From OpenRASP')
    2. console.log(context.session.getSession('_rasp_username'))
    3. // Hello From OpenRASP

获取请求参数

对于 java 服务器，当用户已经获取过请求参数的情况下, 我们会返回 ServletRequest.getParameterMap() 的结果，也就是 Map<String, String[]>

当用户还没有获取过任何参数, 我们会返回空对象, 这样做既可以保证用户在获取参数的时候产生乱码, 同时在插件中做用户参数匹配检测过程中也可以降低误报率

  1. // context.querystring = 'offset=10&size=10'
  2. // context.body = 'filter=odd'
  3. context.parameter
  4. // => {
  5. //   'offset': ['10'],
  6. //   'size':   ['10'],
  7. //   'filter': ['odd']
  8. // }

获取请求来源地址

这个参数只是应用服务器看到的请求来源IP。如果是反向代理部署方式，你可能需要获取 X-Forwarded-For、X-Client-IP 等HTTP响应头数据

  1. context.remoteAddr
  2. // => '2.3.3.3'

获取服务器信息

当前服务器的属性，包括服务器类型、开发语言等等

  1. context.server
  2. // {
  3. //    'name': 'Tomcat / JBoss / Jetty',
  4. //    'version': '8',
  5. //    'os': 'Linux',
  6. //    'language': 'java / php' 
  7. // }

若要判定是否为 Windows 系统，可使用 context.server.os.indexOf('Windows') == 0

获取Web根目录

对于java服务器，返回 webapps 目录；对于php服务器，返回 webroot

  1. context.appBasePath
  2. // => '/home/tomcat/webapps'

自定义实例

在编写单元测试时，若要同时模拟请求信息，可以通过自定义 Context 实例的方式来实现，e.g

  1. var context = new Context()
  3. // 自定义 method 参数信息
  4. var context = new Context({
  5.   getMethod: function() {
  6.     return 'get'
  7.   }
  8. })

当然，除了请求方法以外，你可还可以自定义其他参数，

如果没有定义某个方法，这个方法将返回 undefined

  1. var context = new Context({
  2.   getPath: function(){},
  3.   getQuerystring: function(){},
  4.   getMethod: function(){},
  5.   getProtocol: function(){},
  6.   getHeader: function(){},
  7.   getParameter: function(){},
  8.   getBody: function(){},
  9.   getRemoteAddr: function(){},
  10.   getServer: function(){}
  11. })

原文: https://rasp.baidu.com/doc/dev/api/context.html