Docker运行OWASP ZAP容器对接Keycloak认证的相关问题咨询

1. Keycloak是否确实采用表单认证方式？ #

默认用户名密码登录场景下，Keycloak确实使用标准表单认证方式，需要注意它的表单提交地址是Keycloak服务本身的认证端点，而非你的业务应用地址，提交请求会附带state、session_state等动态生成的隐藏参数，不是静态表单结构。

2. 你理解的流程是否正确？ #

大体正确。提前在ZAP UI创建上下文并导出的方式是对新手最友好的，不容易出配置问题，也可以手动编写上下文配置文件但容错率更低。执行docker run时只需把导出的上下文文件通过挂载的方式传入容器，再在启动参数中指定加载该上下文即可正常生效。

3. 创建上下文文件的注意事项 #

• 必须把业务应用域名、Keycloak服务域名都加入上下文的包含站点范围，否则ZAP会把Keycloak相关的认证请求判定为外站请求，不做处理直接跳过，导致认证失败
• 配置表单认证时不要自行填写提交参数，建议先抓一次正常登录的请求包，对照实际参数填写：默认用户名字段为username、密码字段为password，所有隐藏字段比如exec、credentialId等都要完整带入表单配置
• 必须配置登录状态判定规则：建议用Cookie匹配作为已登录标识，比如匹配响应头存在KEYCLOAK_SESSION Cookie；未登录标识匹配302重定向到Keycloak登录地址，避免ZAP误判登录状态
• 导出上下文时要勾选「包含凭证」选项，否则用户名密码等敏感信息不会被写入导出文件，容器加载时会缺失认证信息
• 尽量使用权限可控的普通测试用户配置凭证，不要用管理员账号，避免扫描过程中触发高危管理操作造成业务数据异常

4. 如何确认登录流程执行成功？ #

• 查看ZAP运行日志，是否有Authentication successful for user [你的用户名]的正常输出，没有认证相关报错
• 查看ZAP请求历史，登录请求返回状态码正常，后续所有业务请求都携带了KEYCLOAK_SESSION等认证Cookie
• 可以在上下文里配置一个仅登录后可访问的测试URL作为校验地址，扫描启动后确认该地址返回200状态码，而非302重定向到登录页
• 若扫描结果中没有大量集中的401/403未授权类告警，也可以辅助判定登录状态正常

内容的提问来源于stack exchange，提问作者Nimchip