如何在OWASP ZAP中为请求添加预捕获的Cookie头部

不用折腾复杂的认证流程，直接用ZAP自带的功能就能给所有请求加预捕获的Cookie，分两种方法，选你顺手的来：

方法一：不用写代码的Cookie Jar配置 #

• 打开ZAP，点顶部菜单栏「工具」→「选项」→「HTTP会话」
• 切到「Cookie Jar」标签，点「添加」按钮
• 按实际情况填：
  • 名称：你的Cookie键（比如auth_token）
  • 值：你提前抓的JWT字符串
  • 域：你的SPA域名（比如your-app.com，别加http/https前缀）
  • 路径：填/，这样全站请求都生效
  • 过期时间选个远日期就行（比如一年后）
• 保存完，确认ZAP本地代理开着，浏览器代理也设对了，之后扫的时候自动带Cookie

方法二：修正add-more-headers脚本 #

之前脚本没生效大概率是没写对，改一下就行：

• 打开ZAP的「脚本」面板，找到add-more-headers脚本
• 右键选「编辑」，在脚本里加一行代码（放到处理请求的逻辑里）：

msg.getRequestHeader().setHeader("Cookie", "auth_token=你的JWT内容");

• 保存脚本，确保脚本前面的复选框是勾上的，这样请求就会自动带Cookie

两种方法都能搞定，推荐第一种，不用碰代码更省心。

内容的提问来源于stack exchange，提问作者user2943799