如何将Robot Framework请求重定向至OWASP ZAP并转发响应

我之前刚搞定过一模一样的需求——完全不用浏览器，只让Robot的HTTP请求通过ZAP代理，再由ZAP转发到目标应用，最后把响应回传给Robot。下面分两部分详细拆解：

1. 将Robot Framework的请求重定向至OWASP ZAP #

首先得确保ZAP以无头代理模式启动（完全不碰浏览器），然后在Robot里配置请求走ZAP的代理端口。

第一步：启动OWASP ZAP代理服务 #

用命令行启动ZAP的后台代理，避免弹出UI：

# Linux/macOS
zap.sh -daemon -port 8080 -host 0.0.0.0 -config api.disablekey=true

# Windows
zap.exe -daemon -port 8080 -host 0.0.0.0 -config api.disablekey=true

参数解释：

• -daemon：后台启动，无UI界面
• -port 8080：设置代理端口（可根据需求修改）
• -host 0.0.0.0：允许本地Robot进程访问代理
• -config api.disablekey=true：临时关闭API密钥验证（仅测试用，生产环境建议保留密钥）

第二步：在Robot Framework中配置代理 #

我们用RequestsLibrary发送纯HTTP请求（不用Selenium，自然不会启动浏览器），在创建会话时指定ZAP作为代理：

*** Settings ***
Library    RequestsLibrary

*** Variables ***
${TARGET_APP_URL}    https://your-web-app.com  # 替换成你的目标应用地址
${ZAP_PROXY_URL}     http://localhost:8080     # 和ZAP启动的端口保持一致

*** Test Cases ***
Send Request Via ZAP
    # 创建会话时指定代理，HTTP和HTTPS请求都走ZAP
    Create Session    app_session    ${TARGET_APP_URL}    proxies={"http": "${ZAP_PROXY_URL}", "https": "${ZAP_PROXY_URL}"}
    # 发送请求，此时请求会先经过ZAP代理
    ${response}=    Get Request    app_session    /api/your-endpoint
    # 打印响应，确认链路通畅
    Log    Response Status: ${response.status_code}
    Log    Response Body: ${response.json()}

2. 将OWASP ZAP的响应转发至Robot Framework #

其实ZAP作为正向代理，默认就会自动把请求转发到目标应用，再把响应原路返回给Robot——不需要额外配置转发规则。但有个关键细节要处理：HTTPS请求的证书信任问题。

因为ZAP会对HTTPS请求做中间人代理，Robot的RequestsLibrary默认会不信任ZAP的根证书，导致SSL错误。解决方法如下：

第一步：导出ZAP的根证书 #

ZAP的根证书默认存放在以下路径：

• Linux/macOS：~/.ZAP_D/root-ca.crt
• Windows：C:\Users\<你的用户名>\.ZAP_D\root-ca.crt

第二步：在Robot中信任该证书 #

修改Robot的会话配置，添加证书验证路径：

*** Variables ***
${ZAP_CERT_PATH}    /home/your-user/.ZAP_D/root-ca.crt  # 替换成你的证书实际路径

*** Test Cases ***
Send HTTPS Request Via ZAP
    Create Session    app_session    ${TARGET_APP_URL}    proxies={"http": "${ZAP_PROXY_URL}", "https": "${ZAP_PROXY_URL}"}    verify=${ZAP_CERT_PATH}
    ${response}=    Post Request    app_session    /api/submit-data    json={"key": "value"}
    Log    ${response.status_code}

如果不想每个会话都加verify参数，也可以设置系统环境变量REQUESTS_CA_BUNDLE指向ZAP的证书路径，这样RequestsLibrary会全局信任该证书。

验证链路是否正常 #

启动ZAP后运行Robot测试，然后访问http://localhost:8080/JSON/httplog/view/allEntries/查看ZAP的请求日志，如果能看到Robot发送的请求记录，就说明链路已经通了——ZAP成功代理了请求，并且把响应回传给了Robot。

内容的提问来源于stack exchange，提问作者aha rin