1. 项目概述Cookie伪造在接口测试中的实战价值在Web开发与接口测试领域Cookie处理是每个测试工程师必须掌握的硬核技能。最近在测试某电商平台优惠券系统时我发现需要模拟不同用户身份的请求来验证权限控制逻辑。传统做法需要反复登录不同账号获取Cookie效率极低。通过Postman的Cookie管理功能我们可以直接编辑和注入Cookie值实现身份切换的无缝测试。这种技术特别适合以下场景需要测试用户权限边界时如普通用户与VIP用户的接口差异验证会话保持机制时如登录态超时处理模拟异常Cookie攻击时如XSS防护测试重要提示Cookie伪造仅限合法测试用途实际业务中要严格防范此类操作带来的安全风险2. 核心原理与工具准备2.1 Cookie在HTTP协议中的运作机制当客户端首次访问服务端时服务器通过Set-Cookie响应头下发会话标识。后续请求中浏览器会自动通过Cookie请求头携带这些信息。在Postman中我们需要手动管理这个过程。典型Cookie报文示例HTTP/1.1 200 OK Set-Cookie: session_idabc123; Path/; HttpOnly GET /user/profile HTTP/1.1 Cookie: session_idabc1232.2 Postman的Cookie管理界面详解最新版Postmanv10提供了两种Cookie操作方式界面操作通过Cookies菜单管理快捷键CtrlShiftCWindows/ CmdShiftCMac可以查看、编辑、删除当前域下的所有Cookie脚本控制通过Pre-request Script动态设置pm.cookies.set(user_role, admin, { domain: example.com, path: /, secure: true });3. 完整操作流程实录3.1 基础Cookie注入步骤以模拟管理员身份访问用户管理接口为例先使用普通账号正常登录在开发者工具中复制Cookie字符串在Postman新建请求进入Cookies管理界面手动添加关键Cookie项Name:auth_tokenValue: 复制的token值Domain: 填写被测系统域名如.example.comPath: 通常设为/Secure: 根据实际情况勾选保存后发送请求在响应中确认用户权限已变更3.2 高级技巧Session覆盖攻击测试测试会话固定漏洞时可以这样操作准备两个不同的浏览器如Chrome和Firefox在浏览器A正常登录记录Session ID在Postman中手动设置相同的Session ID用浏览器B访问系统观察是否能直接进入已登录状态// Pre-request Script示例强制设置Session const sessionId 窃取到的SESSION_ID; pm.cookies.set(JSESSIONID, sessionId, { domain: vulnerable-site.com, path: /, httpOnly: true });4. 实战问题排查指南4.1 Cookie不生效的常见原因问题现象排查步骤解决方案Cookie未随请求发送1. 检查Domain/path是否匹配2. 确认Secure设置与协议匹配使用浏览器开发者工具对比正常请求服务端拒绝伪造请求1. 检查Cookie的HttpOnly标志2. 验证服务端签名机制尝试获取合法Cookie后修改部分字段跨域问题1. 确认SameSite属性设置2. 检查CORS配置在Postman设置中关闭同源限制4.2 安全防护绕过技巧当遇到带签名验证的Cookie时可以尝试先获取合法Cookie样本使用Burp Suite等工具分析加密模式在Postman的Tests脚本中实现相同算法// 示例HMAC签名生成 const crypto require(crypto); const secret known_secret; const hmac crypto.createHmac(sha256, secret); hmac.update(useradmin); pm.cookies.set(auth, hmac.digest(hex));5. 企业级测试方案设计5.1 Cookie工厂模式实现对于需要批量测试的场景建议建立Cookie模板// 在Collection的Pre-request Script中 function generateCookie(role) { const templates { guest: { access_level: 1 }, user: { access_level: 2, vip: false }, admin: { access_level: 99 } }; Object.entries(templates[role]).forEach(([key, val]) { pm.cookies.set(key, val, { domain: pm.request.url.getHost() }); }); } // 在具体请求的Pre-request中调用 generateCookie(admin);5.2 与CI/CD管道集成通过Newman执行测试时可以通过环境变量控制Cookie在Jenkins等CI工具中设置环境变量export TEST_USER_COOKIEauth_tokenci_test_123在Postman测试脚本中读取const testCookie pm.environment.get(TEST_USER_COOKIE); testCookie.split(;).forEach(pair { const [key, val] pair.split(); pm.cookies.set(key.trim(), val.trim()); });我在实际测试中发现某些系统会检测Cookie的生成时间。这时可以在Pre-request脚本中添加时间戳欺骗// 模拟已存在30分钟的Cookie const createTime new Date(Date.now() - 30*60*1000); pm.cookies.set(login_time, createTime.toISOString(), { domain: sensitive-system.com });对于现代Web应用使用的JWT等token机制推荐使用Postman的Authorization选项卡直接管理比手动设置Cookie更可靠。当遇到无法绕过的加密验证时建议联系开发团队获取测试专用的万能token。 
长河君 · 2026/10/26 18:58:08 · 阅读 1.2k Postman实战：Cookie伪造在接口测试中的高效应用
1. 项目概述Cookie伪造在接口测试中的实战价值在Web开发与接口测试领域Cookie处理是每个测试工程师必须掌握的硬核技能。最近在测试某电商平台优惠券系统时我发现需要模拟不同用户身份的请求来验证权限控制逻辑。传统做法需要反复登录不同账号获取Cookie效率极低。通过Postman的Cookie管理功能我们可以直接编辑和注入Cookie值实现身份切换的无缝测试。这种技术特别适合以下场景需要测试用户权限边界时如普通用户与VIP用户的接口差异验证会话保持机制时如登录态超时处理模拟异常Cookie攻击时如XSS防护测试重要提示Cookie伪造仅限合法测试用途实际业务中要严格防范此类操作带来的安全风险2. 核心原理与工具准备2.1 Cookie在HTTP协议中的运作机制当客户端首次访问服务端时服务器通过Set-Cookie响应头下发会话标识。后续请求中浏览器会自动通过Cookie请求头携带这些信息。在Postman中我们需要手动管理这个过程。典型Cookie报文示例HTTP/1.1 200 OK Set-Cookie: session_idabc123; Path/; HttpOnly GET /user/profile HTTP/1.1 Cookie: session_idabc1232.2 Postman的Cookie管理界面详解最新版Postmanv10提供了两种Cookie操作方式界面操作通过Cookies菜单管理快捷键CtrlShiftCWindows/ CmdShiftCMac可以查看、编辑、删除当前域下的所有Cookie脚本控制通过Pre-request Script动态设置pm.cookies.set(user_role, admin, { domain: example.com, path: /, secure: true });3. 完整操作流程实录3.1 基础Cookie注入步骤以模拟管理员身份访问用户管理接口为例先使用普通账号正常登录在开发者工具中复制Cookie字符串在Postman新建请求进入Cookies管理界面手动添加关键Cookie项Name:auth_tokenValue: 复制的token值Domain: 填写被测系统域名如.example.comPath: 通常设为/Secure: 根据实际情况勾选保存后发送请求在响应中确认用户权限已变更3.2 高级技巧Session覆盖攻击测试测试会话固定漏洞时可以这样操作准备两个不同的浏览器如Chrome和Firefox在浏览器A正常登录记录Session ID在Postman中手动设置相同的Session ID用浏览器B访问系统观察是否能直接进入已登录状态// Pre-request Script示例强制设置Session const sessionId 窃取到的SESSION_ID; pm.cookies.set(JSESSIONID, sessionId, { domain: vulnerable-site.com, path: /, httpOnly: true });4. 实战问题排查指南4.1 Cookie不生效的常见原因问题现象排查步骤解决方案Cookie未随请求发送1. 检查Domain/path是否匹配2. 确认Secure设置与协议匹配使用浏览器开发者工具对比正常请求服务端拒绝伪造请求1. 检查Cookie的HttpOnly标志2. 验证服务端签名机制尝试获取合法Cookie后修改部分字段跨域问题1. 确认SameSite属性设置2. 检查CORS配置在Postman设置中关闭同源限制4.2 安全防护绕过技巧当遇到带签名验证的Cookie时可以尝试先获取合法Cookie样本使用Burp Suite等工具分析加密模式在Postman的Tests脚本中实现相同算法// 示例HMAC签名生成 const crypto require(crypto); const secret known_secret; const hmac crypto.createHmac(sha256, secret); hmac.update(useradmin); pm.cookies.set(auth, hmac.digest(hex));5. 企业级测试方案设计5.1 Cookie工厂模式实现对于需要批量测试的场景建议建立Cookie模板// 在Collection的Pre-request Script中 function generateCookie(role) { const templates { guest: { access_level: 1 }, user: { access_level: 2, vip: false }, admin: { access_level: 99 } }; Object.entries(templates[role]).forEach(([key, val]) { pm.cookies.set(key, val, { domain: pm.request.url.getHost() }); }); } // 在具体请求的Pre-request中调用 generateCookie(admin);5.2 与CI/CD管道集成通过Newman执行测试时可以通过环境变量控制Cookie在Jenkins等CI工具中设置环境变量export TEST_USER_COOKIEauth_tokenci_test_123在Postman测试脚本中读取const testCookie pm.environment.get(TEST_USER_COOKIE); testCookie.split(;).forEach(pair { const [key, val] pair.split(); pm.cookies.set(key.trim(), val.trim()); });我在实际测试中发现某些系统会检测Cookie的生成时间。这时可以在Pre-request脚本中添加时间戳欺骗// 模拟已存在30分钟的Cookie const createTime new Date(Date.now() - 30*60*1000); pm.cookies.set(login_time, createTime.toISOString(), { domain: sensitive-system.com });对于现代Web应用使用的JWT等token机制推荐使用Postman的Authorization选项卡直接管理比手动设置Cookie更可靠。当遇到无法绕过的加密验证时建议联系开发团队获取测试专用的万能token。