如何在ZAPROXY脚本中调用加密方法实现SHA256哈希

问题原因 #

你尝试引用的org.zaproxy.zap.extension.script.CryptoJS并非ZAP内置的Java类，因此调用Java.type会提示未定义错误。

解决方案 #

ZAP运行在JVM环境中，可直接调用内置工具类或Java标准库实现SHA256哈希，以下是两种可靠方案：

方案1：使用ZAP内置Utils工具类（推荐） #

ZAP的org.parosproxy.paros.util.Utils类提供了封装好的SHA256哈希和字节转十六进制方法，无需手动处理细节：

var Utils = Java.type('org.parosproxy.paros.util.Utils');

function sha256Hash(value) {
    var inputBytes = value.getBytes('UTF-8');
    var hashBytes = Utils.getSHA256Hash(inputBytes);
    return Utils.bytesToHex(hashBytes);
}

// 业务代码示例
const plain_token = var1 + ":" + var2 + ":" + var3 + ":" + var4;
const token = sha256Hash(plain_token);

方案2：使用Java标准MessageDigest类 #

如果需要更底层的实现，可直接调用Java安全库的MessageDigest：

var MessageDigest = Java.type('java.security.MessageDigest');
var BigInteger = Java.type('java.math.BigInteger');

function sha256Hash(value) {
    var md = MessageDigest.getInstance('SHA-256');
    md.update(value.getBytes('UTF-8'));
    var hashBytes = md.digest();
    
    // 将字节数组转为十六进制字符串，补全前导零保证长度为64位
    var bigInt = new BigInteger(1, hashBytes);
    var hexStr = bigInt.toString(16);
    while (hexStr.length < 64) {
        hexStr = '0' + hexStr;
    }
    return hexStr;
}

// 业务代码示例
const plain_token = var1 + ":" + var2 + ":" + var3 + ":" + var4;
const token = sha256Hash(plain_token);

验证说明 #

两种方案均能生成符合标准的SHA256十六进制哈希字符串，可完全替代你引入的外部JS库实现需求。

内容的提问来源于stack exchange，提问作者CuttlefishJones