两个机制各自的用处
批量验证里有两件重复劳动：给每个请求加上可识别的测试标识，以及维持登录状态并在会话过期后自动刷新。前者用替换规则统一处理，后者用会话处理规则配合宏完成。做好这两件事，批量请求才是可复现、可审计的，否则会出现一半请求以未登录状态得到错误结论的情况。
基本信息
| 替换规则 | 统一注入测试标识与固定请求头 |
|---|---|
| 会话处理规则 | 维护登录态、自动刷新令牌 |
| 宏 | 录制登录流程并从响应中提取参数 |
| 作用范围 | 限定到目标域与指定工具模块，避免误伤 |
| 原则 | 测试标识用于与客户审计对账，不用于伪装身份 |
典型使用场景
- 客户要求流量可识别：所有请求带上约定的测试标识头，便于与日志对账
- 会话易过期：登录态由宏自动刷新，避免批量任务中途失效
- 固定头缺失：为工具请求统一补齐必要的自定义头
- 多账号切换：按范围区分不同会话，避免账号串用
- 出问题排查：先看替换规则是否误伤，再看会话是否已失效
配置要点
配置要点
替换规则：为请求头添加统一测试标识，例如 X-Pentest-ID 与项目编号
作用范围限定到目标域，避免影响其他站点
会话处理规则：添加规则动作，运行宏完成登录
宏录制登录流程，从响应中提取令牌并绑定到后续请求
验证方式：用单条请求在重放工具中确认替换与会话都生效
检查方式：批量任务后抽查若干请求，确认标识与会话状态正常规则类型与用途
| 配置项 | 用途 | 风险 |
|---|---|---|
| 请求头替换 | 统一注入测试标识 | 范围过大改写正常头 |
| 响应头替换 | 便于识别拦截与缓存 | 影响对响应的判断 |
| 会话规则 | 自动维持登录态 | 宏失败导致批量错误结论 |
| 作用范围限定 | 控制规则生效边界 | 未限定导致越界请求 |
替换规则可能误伤正常请求头：启用前用单条请求验证，批量任务后抽查若干请求确认结果。
宏失效往往表现为大批请求返回登录页：批量结果里出现成片的相同响应时，先检查会话链路再下结论。