如何测试我的分页 api 响应？

Question

我正在将 QRadar 与 ForgeRock Identity Cloud 集成，IBM 本身不支持该功能。相反，IBM 有一个通用云 REST API 协议，它可以通过工作流 xml（定义 API 调用）和环境变量 xml（密钥、秘密等）来完成此操作。

用于日志的ForgeRock api除了在第一个请求之后的每个请求中输入令牌（由ForgeRock提供的令牌）之外，没有明确说明如何实现分页。我比较了两个 json 事件对象，它们是不同的，但我仍然不确定，因为当没有更多结果时，此标记应该为 null。

从当前时间到过去 24 小时在 Postman 上手动运行此进程 4-5 次绝不会导致空令牌。我有一个特定的日期范围，我知道总共有 1,060 个事件（第一个响应有 1,000 个事件，第二个响应有 60 个事件），我使用他们记录的方法对这些事件进行分页，以便在推荐的日志记录端点而不是尾部端点上对尾日志进行分页，这将在第二次调用时以空令牌终止。

关于 xml 标签如何用于工作流程的 QRadar 文档有点稀疏。我不确定 ` auto 是否对其中的任何内容进行编码。 Forgerock 文档确实说令牌应该进行 uri 编码。

现在，我正在使用 QRadar CE，因此我的速率限制为 50 eps。 ForgeRock API 的请求限制为 1,000 eps，最大时间窗口为 24 小时。

我尝试在邮递员中复制此逻辑，但速率限制阻止了 QRadar 中的确认。不幸的是，当我开发和测试此集成时，客户不会给我访问权限。

我查看了 IBM 在 QRadar 方面的示例实现以及 尾部分页存储库。

PS：另外，在客户端系统上，我添加了日志源，但事件没有出现。 在 IBM 论坛上，这个人发现他必须将事件发布到来源而不是主机。我已将事件设置为将事件发布到主机，该主机是 ForgeRock 的 FQDN。看起来他们已经消耗了大量资源。

Answer 1

我明白了。 ForgeRock 文档关于分页正常审核和调试日志的内容不完整。

您需要查询参数：

_queryFilter=true

,

beginTime and endTime must be defined

,

source=<log_src>

,

_pagedResultsCookie which must be present but empty on on the initial call

.

在初次调用时，页面 cookie 将存在但为空。响应将包含一个 cookie，直到它变成

null

表示不再有页面。

在首次调用给定时间范围内的所有结果后，在每次调用时使用 cookie 值填充

_pagedResultsCookie

参数。