GitLab CI/CD中Angular站点DAST扫描认证失败问题咨询

问题根因 #

GitLab内置DAST扫描的浏览器渲染引擎Browserker默认设置了10MB的单资源响应体大小上限，基于AspNetZero框架开发的Angular站点主JS包体积约11MB，触发了引擎的资源拦截规则，导致Angular框架无法正常初始化、登录表单#manual_login元素渲染失败，最终抛出认证错误。
此前调整ZAP进程内存、扫描稳定性超时参数未生效，是因为这些配置仅作用于传统ZAP爬虫进程，认证阶段的页面渲染、资源加载逻辑由独立的Browserker引擎控制，不受上述参数影响。

具体修复步骤 #

• 调整Browserker引擎的响应体大小上限
  在DAST任务中添加变量DAST_BROWSER_MAX_RESPONSE_SIZE_MB，将单资源允许的最大体积调高到20MB（覆盖当前JS包体积并预留冗余），修改后的完整CI配置如下：

  # Include the DAST template
  include:
    - template: DAST.gitlab-ci.yml
  
  dast:
    stage: dast
    variables:
      # 调整浏览器引擎最大响应体限制为20MB，默认值为10
      DAST_BROWSER_MAX_RESPONSE_SIZE_MB: 20
      # 保留此前配置的ZAP内存参数
      DAST_ZAP_CLI_OPTIONS: '-Xmx3072m'
      # 可选：首屏资源较多时同步调大页面加载超时到60秒，默认30秒
      DAST_BROWSER_PAGE_LOAD_TIMEOUT: 60000
    dast_configuration:
      site_profile: "auth"
      scanner_profile: "default"
  

• AspNetZero框架适配补充配置
  • 如果站点开启了CSP（内容安全策略），额外添加变量DAST_BROWSER_SKIP_CSP: "true"，避免CSP规则拦截扫描器的资源加载请求
  • 在站点配置（site_profile）中，将认证成功验证地址设置为登录后才可访问的内部页面（如/dashboard），不要依赖默认的登录成功判断逻辑，避免误判认证状态

效果验证 #

重新运行DAST流水线后，日志中不会再出现response body exceeds allowed size的警告，待Angular框架加载完成后，扫描器可正常定位到#manual_login登录表单，完成认证流程并写入有效cookie，后续扫描流程可正常执行。

内容的提问来源于stack exchange，提问作者jeff.kam