ヘッダーベースセッション管理

このアドオンは、任意の数のヘッダーをサポートする新しいセッション管理方式を追加します。

ブラウザベース認証またはクライアントスクリプト認証と組み合わせて使用される場合、認証の一部として設定されたすべてのCookie、および「auth」または「csrf」という文字列を含む名前のヘッダー (大文字・小文字を無視) も維持します。

ヘッダー値には、以下のトークンを含めることができます：
     {%json:path.to.data%} JSON認証レスポンスデータ
     {%env:env_var%} 環境変数
     {%script:glob_var%} グローバルスクリプト変数
     {%header:env_var%} 認証レスポンスヘッダー
     {%url:key%} 認証URLパラメーター

自動化フレームワーク

ヘッダーベースセッション管理は、自動化フレームワークプランの環境セクションで以下のように設定できます： 
      sessionManagement:
        method: "headers"
        parameters:                    #  上記で定義されたトークンのいずれかを含むことができる「ヘッダー: 値」のペアのリスト、例：
          Authorization: "Bearer: {%json:AuthenticationResult.AccessToken%}"

API

ヘッダーベースセッション管理は、ZAP API経由で、以下のパラメーターを使用して設定できます： 
    contextId
    methodName
    methodConfigParams
例えば：
contextId1
methodNameheaderBasedSessionManagement
methodConfigParamsheaders=Authorization:Bearer 8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918

API経由でヘッダーベースセッション管理を追加する場合、headers パラメーターは、改行文字: \n で区切られた ヘッダー:値 ペアの文字列です。

コアの制限により：

これらの制限は将来のリリースで解決される予定です。

最新のコード: HeaderBasedSessionManagementMethodType.java