登录接口返回了Cookie，后续请求也一直携带它，但这并不代表安全属性已经配置完整。有时登录响应带有标志，刷新会话时却又被另一条响应覆盖。BurpSuite怎么检查Cookie安全属性BurpSuite Cookie缺少安全标志如何验证，需要从设置Cookie的响应查起，再观察浏览器的实际行为，不能只看请求中的Cookie头。

昨天的请求记录，今天打开Burp Suite却找不到了，未必是软件没有保存。临时项目退出后不会保留数据，配置文件也不能代替完整项目；有时只是打开了旧副本，或列表仍在过滤。“BurpSuite怎么保存和恢复测试项目BurpSuite重新打开项目后数据未保留如何排查”，下面按项目创建、重新打开和数据检查分别说明。

打开一个页面，Burp Suite里可能同时出现接口调用、图片、脚本和第三方资源。记录一多，想找的请求反而不容易发现。有时刚调整过筛选条件，下一步操作产生的请求就“消失”了。判断请求是否缺失，要区分它是被隐藏、没有经过代理，还是没有写入历史记录。这几种情况处理方式不同，下面从筛选入口说起。

Burp Suite进行接口测试时，除了请求记录本身，还会保存大量项目相关配置，例如代理设置、会话规则、宏、扫描配置、替换规则以及扩展设置等。如果测试周期比较长，只靠临时窗口运行，很容易在关闭软件后丢失部分调整内容。尤其是在多人协作或者需要重复测试同一套接口时，项目文件的保存和恢复就比较重要。实际使用中，如果重新打开项目发现配置没有保留，通常需要检查保存方式、项目类型以及配置是否属于当前项目范围。

在Web测试过程中，经常需要临时修改请求或响应中的某些内容，例如替换请求头、调整参数值、修改Cookie或者观察不同输入下的返回结果。Burp Suite中的Match and Replace可以自动完成这些重复修改操作，避免每次都手动编辑请求。不过实际使用时，比较容易遇到规则已经添加，但请求内容没有变化的情况。原因通常和规则作用范围、匹配位置、正则表达式以及启用状态有关。配置时先明确需要修改的对象，再设置匹配条件，后续排查会更方便。

在Web安全测试过程中，会话状态往往会影响后续请求是否能够正常执行。Burp Suite中的Session Handling Rules可以根据不同请求场景自动处理Cookie、Token以及登录状态，让测试流程减少重复操作。不过实际配置时，经常会遇到规则已经添加，但请求发送后没有更新会话信息，或者登录状态没有按照预期变化的问题。这类情况通常和规则匹配范围、执行顺序、宏配置以及作用域设置有关，需要逐项确认。

Burp Suite拦截HTTPS流量时，会为访问的站点动态生成TLS证书，再由Burp自己的CA证书完成签名。外部浏览器如果没有信任这张CA证书，就会把Burp生成的站点证书判断为不可信。处理“BurpSuite怎么导入CA证书，BurpSuite CA证书安装后HTTPS仍提示错误如何处理”时，除了确认CA已经安装，还要检查浏览器代理、证书信任范围以及当前Burp实例使用的CA是否一致。

BurpSuite中的Logger用于集中记录Burp各工具产生的HTTP流量，除了浏览器代理请求，还能看到Repeater、Scanner、Intruder以及扩展主动发送的请求。处理“BurpSuite怎么使用Logger记录流量，BurpSuite Logger记录不完整如何排查”时，关键是先分清“请求没有被记录”和“请求已经记录但当前没有显示”。这两种情况表现相似，背后的原因却不同。

Burp Suite中的Target Scope用于界定当前项目真正需要关注的主机和URL范围。配置Scope之后，Burp的Site map、Proxy、Scanner等工具可以根据范围采用不同的显示、记录或处理策略。不过，Scope本身并不等同于“禁止所有范围外流量经过代理”，因此仍然看到第三方统计、CDN、图片资源或其他域名请求并不一定代表配置失败。围绕“BurpSuite怎么设置Target Scope，BurpSuite Scope配置后仍抓到无关请求如何调整”，需要把目标范围、历史记录过滤和Proxy拦截规则分别设置清楚。

Burp Suite Proxy是放在客户端和目标服务器中间的一个工具，它可以记录、拦截，也可以修改经过代理的那些HTTP和HTTPS请求。在做测试之前，要先确认一下目标系统是不是自己的，或者已经拿到了很明确的授权。抓包的时候，比较容易弄混的一件事是，“请求没有被拦截窗口停下来”和“请求根本就没有经过Burp”，这是两种不一样的情况，得从不同的地方去排查才行。