包括 docker OWASP ZAP 容器的 Keycloak 身份驗證

Question

我正在開發一個解決方案，該解決方案涉及運行owasp/zap2docker-stable映像，以便完全掃描實現Keycloak以進行身份​​驗證和用戶管理的 Web 應用程序。

如果我理解正確，我需要包含一個上下文文件，其中包含身份驗證詳細信息，例如用戶/密碼、登錄表單目標 URL，並假設在執行docker run時身份驗證方法是基於表單的。 如果我沒有弄錯並且正確地遵循了網絡上的信息，那么似乎應該從 ZAP UI 應用程序創建和導出此上下文文件。

我的問題如下：

• 是否確認 Keycloak 使用基於表單的身份驗證？
• 我是否正確理解必須創建、導出上下文文件並將其提供給 docker run 命令才能發生這種情況？
• 在創建上下文文件時，是否有任何需要注意的特定步驟？
• 我如何確認登錄過程成功發生？

Answer 1

不知道 Keycloak，但您對 ZAP 上下文文件是正確的。 盡管如果您可以使用標頭對您的應用程序進行身份驗證，那么您只需通過 env var 進行設置即可。

ZAP 維護統計信息 - 請參閱https://www.zaproxy.org/docs/internal-statistics/並在密鑰中搜索“auth”。 您可以通過掃描掛鈎來測試這些https://www.zaproxy.org/docs/docker/scan-hooks/

或者，您可以等到自動化框架完全支持身份驗證 - 希望很快就會實現，但沒有預計到達時間。 在任何情況下，您仍然需要先在 ZAP 桌面中設置和測試身份驗證。