堡垒机密码代填

参考这个文档说明：https://www.h3c.com/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_SecPath_A2000_CN_Web_CG_E6701-11304/?CHID=1275251#ug_ms_0051

H3C A2000-E25 Web 防火墙密码代填不生效完整排查方案
一、先分清两大核心故障分类：资产配置错误（90% 场景）、密码托管 / 权限错误
第一大类：应用系统（Web 资产）配置错误（最常见）
1. 脚本类型选错（必查项）
资产清单→应用系统→编辑该防火墙资产，脚本类型不能选「不代填」：
选项说明：
不代填：完全不会自动填充账号密码（你大概率误选这个）
通用 / 全自动脚本：H3C 防火墙 V7 Web 界面优先选【全自动脚本】
高级 / 自定义：页面表单特殊、自动识别失败时才用
2. URL Pattern 正则匹配错误（防火墙登录页专属坑）


HTTP代填URL配置界面
点击「默认填写」自动生成正则 http[s]?://{domain}$，必须修改适配防火墙登录页
防火墙真实登录地址示例：https://10.1.1.1/login.html
正确正则：http[s]?://{domain}/login\.html$
禁忌：
正则不能匹配登录成功后的首页 URL，堡垒机会循环反复代填
末尾必须加 $ 精准匹配登录页面，否则打开主页时代填逻辑失效
3. 浏览器兼容问题（H3C V7 防火墙 Web 致命问题）
官方文档明确：V7 版本防火墙 Web 管理界面，Chrome 模式代填大概率识别失败，仅支持 IE 内核代填
解决：编辑应用系统，App 类型选择 B/S IE，不要选通用 HTTP/Chrome 模式
4. 入口 URL、允许域名填写错误
入口 URL：完整填写防火墙 HTTPS 登录地址（不能只写 IP，要带 /login.html）
允许域名：填写防火墙 IP（如10.1.1.1），不填会拦截页面加载，代填脚本无法执行
5. 证书弹窗阻断代填
防火墙 Web 自签名证书，打开页面先弹出「证书错误 / 继续访问」弹窗，脚本会卡在弹窗阶段无法识别账号输入框：
临时测试：本地电脑浏览器先访问防火墙，勾选「永久信任证书」；正式方案：堡垒机导入防火墙根证书。
第二大类：密码托管、账号授权配置错误
1. 资产未绑定托管账号（导入密码仅存密码库，未关联资产）
进入菜单【密码管理】→账号托管，确认防火墙账号已导入；
返回资产编辑页面，下方「托管账号」下拉框必须选中该管理员账号；
仅导入密码、没在资产上绑定账号，页面不会自动填充。
2. 运维用户无访问权限
访问权限策略：资产、账号、运维用户三者必须绑定；
测试用普通运维账号登录堡垒机测试，管理员超级账号部分环境无法触发代填脚本。
3. 密码包含特殊字符解析异常
密码含 @ # \ / ( ) 等符号，全自动脚本解析出错，临时简化密码测试区分是否为此问题。
第三大类：页面表单特殊，全自动脚本识别失败（防火墙专属）
H3C 防火墙 Web 登录框是 JS 动态渲染表单，部分版本页面无法被「全自动脚本」自动识别输入框：
切换脚本类型为【高级】；
F12 打开防火墙登录页源码，复制用户名输入框、密码输入框、登录按钮的 Xpath 路径填入高级脚本；
保存后重新测试访问。
二、标准修复操作步骤（按顺序执行）
修改资产基础配置
资产清单→应用系统→编辑防火墙资产
App 类型：改为 B/S IE
脚本类型：全自动脚本
入口 URL：完整登录地址 https://防火墙IP/login.html
Url Pattern：修改正则 http[s]?://{domain}/login\.html$
允许域名：填写防火墙 IP
绑定托管账号
页面底部托管账号下拉，选中导入好的防火墙管理员账号，保存资产。
配置访问权限
访问控制→访问权限，新建策略：资产 = 防火墙、账号 = 托管账号、用户 = 你的运维账号。
清除证书拦截
本地 IE 浏览器访问防火墙，安装证书并勾选永久信任。
测试验证
退出管理员账号，用授权的普通运维账号登录堡垒机，点击资产直接访问 Web 界面。
三、快速定位故障判断
打开页面完全不填任何内容
→ 脚本类型选错 / 未绑定托管账号 / URL Pattern 不匹配 / 没做访问权限
页面加载完成，仅账号框填充、密码空白
→ 防火墙页面 JS 表单渲染，全自动脚本识别失效，切换高级自定义 Xpath 脚本
Chrome 打开无代填，IE 模式正常
→ 浏览器内核兼容问题，固定用 B/S IE 类型
页面卡在证书弹窗，永远不出现登录框
→ 证书未信任，阻断代填脚本执行
四、兜底方案（全自动脚本彻底失效时）
脚本类型改为【高级】；
F12 获取登录页三个 Xpath：用户名 input、密码 input、登录 button；
填入高级脚本对应输入框，保存资产后重试；
仍失效：导出页面 HTML，联系新华三 400 获取防火墙专用预定义代填脚本导入。

• 修改方法：请进入应用发布配置中，将 Url pattern 修改为精确匹配防火墙登录界面的正则表达式。例如，若防火墙登录地址为 https://192.168.4.111/web/frame/login.html，则 Url pattern 应设置为 http[s]?://{domain}/web/frame/login.html$。
• 注意事项：Url pattern 绝对不能匹配到用户登录成功后的内部网页 URL，否则堡垒机会陷入一直尝试代填的死循环。