JMeter负载测试异常：需鉴权站点未输入凭证仍返回200状态码求助

为什么站点不返回401/403状态码？ #

• 站点未采用HTTP标准鉴权（Basic/Digest）：Http Authorization Manager仅支持这两种鉴权方式，如果站点用的是表单登录、Token鉴权等自定义逻辑，凭证不会被后端识别，自然不会返回401/403，反而可能返回200（比如返回登录页内容）。
• 存在有效会话复用：如果之前手动登录过目标站点，JMeter可能自动复用了浏览器的Cookie，导致请求自带有效会话，跳过了鉴权校验。
• 前端鉴权、后端无校验：部分站点仅在前端做鉴权判断（比如检查是否有Token），后端不对请求做实际权限校验，无论凭证是否正确都返回200。
• Authorization Manager配置错误：比如位置放错（未在目标线程组下）、作用域未覆盖HTTP请求，导致凭证根本没被发送到后端。

如何获取准确的测试结果？ #

• 抓包确认鉴权方式：用JMeter的HTTP(S) Test Script Recorder录制正常登录流程，或用抓包工具分析请求：
  • 若为表单登录：添加HTTP请求模拟登录提交，通过HTTP Cookie Manager保存会话Cookie，后续请求自动携带。
  • 若为Token鉴权：先发起获取Token的请求，提取Token后，在目标请求的Headers中添加Authorization: Bearer [Token值]。
• 修正Authorization Manager配置：确保它和目标HTTP请求在同一个线程组下，作用域覆盖请求（可通过拖拽调整位置，或右键请求添加Authorization Manager）。
• 清理会话避免干扰：在测试计划中添加HTTP Cookie Manager，勾选「Clear cookies each iteration」，每次迭代清空Cookie，保证测试环境干净。
• 基于响应内容判断结果：不要只依赖状态码，添加响应断言，比如检查响应中是否包含鉴权成功后才会出现的内容（如用户昵称、权限菜单），以此判断请求是否真正通过鉴权。
• 验证响应体：在View Result Tree中查看响应内容，如果返回的是登录页或无权限提示，即使状态码是200，也说明鉴权失败。

内容的提问来源于stack exchange，提问作者Edgars