Question 1

什麼是 HAR (HTTP Archive) 檔案？為什麼直接分享會有資安風險？

Accepted Answer

HAR (HTTP Archive) 是一種基於 JSON 的標準格式，用於記錄瀏覽器或客戶端與伺服器之間的所有 HTTP/HTTPS 請求與回應細節：

① 涵蓋高度敏感憑據：
HAR 檔案會忠實記錄請求發送時的 `Authorization` 標頭 (如 Bearer JWT、Basic Auth)、`Cookie` / `Set-Cookie` (含有使用者的登入 Session ID、購物車與身分識別碼)。

② 容易遭到帳號劫持 (Account Takeover)：
若未經脫敏即將 HAR 檔上傳至公開 Jira、GitHub Issue 或直接傳送給第三方廠商，攻擊者可藉由 HAR 內的 Cookie 或 Token 直接重放請求 (Replay Attack)，無需密碼即可劫持您的真實帳號。

Question 2

本工具是如何進行脫敏與清理的？我的封包資料會被上傳到伺服器嗎？

Accepted Answer

100% 絕對安全！本工具採用純前端 (Client-Side) 零伺服器架構：

① 記憶體內本機即時處理：
所有 HAR 解析、正則表達式掃描、JSON 遞迴脫敏與檔案生成皆完全在您的瀏覽器 JavaScript 執行環境中完成。

② 零雲端留存：
封包內容絕不會透過網路發送到任何後端伺服器或第三方分析平台，即使拔掉網路線（離線狀態）也能順暢使用。

Question 3

什麼是「大檔媒體瘦身 (Media Stripping)」？開啟後有何好處？

Accepted Answer

「大檔媒體瘦身」是本工具極具實用價值的特色功能：

① 解決 HAR 檔案動輒數十 MB 的痛點：
瀏覽器在錄製 HAR 時，會將所有圖片 (PNG, JPEG, WebP)、字型 (WOFF2)、影片及二進位檔案以 Base64 形式編碼寫入 Response Body，導致檔案體積迅速膨脹至 30MB~100MB。

② 保留關鍵排錯資訊同時大幅減重：
開啟此選項後，系統會清除這類二進位 Base64 酬載，但完整保留 HTTP 狀態碼 (如 200, 404, 500)、連線時間軸、請求與回應 Headers 以及 JSON API 數據，瞬間將檔案壓縮 90% 以上 (<1MB)，便於郵件寄送與客服上傳。

Question 4

工具支援脫敏哪些敏感欄位與模式？

Accepted Answer

系統內建多層級的智慧偵測引擎：

① 身分認證與標頭：
自動脫敏 `Authorization`, `Proxy-Authorization`, `X-Api-Key`, `X-Auth-Token`, `Bearer`, `Cookie`, `Set-Cookie` 等。

② 網址與表單機密 Key：
自動攔截 `token`, `access_token`, `auth`, `api_key`, `secret`, `password`, `code`, `session_id`, `refresh_token` 等。

③ 深度正則掃描 (Deep Regex)：
自動識別並脫敏 JWT 簽章字串 (`eyJ...`)、AWS Access Key (`AKIA...`)、Stripe 密鑰 (`sk_live_...`)、電子郵件地址與 RSA/OpenSSH 私鑰。

Question 5

清理過後的 HAR 檔案能否重新載入到 Chrome DevTools 或 Postman 中？

Accepted Answer

完全相容！本工具嚴格遵循 W3C HAR 1.2 規格：

① 保持標準 JSON 結構：
脫敏程序僅替換敏感字串內容（如將值替換為 `[REDACTED]`），絕不破壞 JSON 語法、陣列結構或時間戳記欄位。

② 跨工具完美載入：
匯出的 `.har` 檔案可直接重新拖曳回 Google Chrome DevTools Network 面板、Charles Proxy、Wireshark、Postman、Fiddler 或 Datadog 中正常檢視與分析。

Question 6

如果我有系統專屬的自訂敏感欄位（如 `customer_ssn`），該如何處理？

Accepted Answer

您可以透過「自訂敏感欄位」功能靈活擴充：

① 自訂關鍵字清單：
在輸入框中填寫欄位名稱（以逗號或換行分隔），如 `customer_ssn, internal_org_id, pay_secret`。

② 全域自動匹配：
系統會在 Request Headers、Query 參數、POST Form 表單以及遞迴 JSON Body 中同步比對並自動脫敏該欄位。

Question 7

什麼是「第三方追蹤請求過濾 (Tracker Filter)」？

Accepted Answer

過濾無效噪音請求：

① 排除干擾分析的追蹤代碼：
在錄製網站操作時，通常會伴隨大量的 Google Analytics, Facebook Pixel, Hotjar, Sentry, Datadog 等遙測封包。

② 提升除錯專注度：
開啟此功能後，系統可自動剔除這些第三方追蹤請求，讓 HAR 檔案只專注於您要排查的核心業務 API 與系統連線。

Question 8

如何快速驗證本工具的效果？

Accepted Answer

一鍵體驗示範封包：

① 點擊「載入示範 HAR 封包」：
系統會載入包含真實常見情境（含 Bearer JWT、登入 Cookie、敏感 Query 參數、JSON 密碼與肥大圖片酬載）的測試 HAR。

② 立即檢視對照：
您可以切換規則開關、檢視請求詳細面板，並觀察檔案大小與脫敏前後的差異高亮。

HAR 敏感資料清理工具

脫敏與清理全域規則配置