JMeter回放CSRF防护网站脚本遇401及You need to enable javascript报错求助

排查与解决步骤 #

• 重新梳理浏览器请求全流程：用浏览器F12开发者工具完整走一遍操作流程，逐一看所有请求的请求头、响应头、Cookie，以及页面HTML源码。CSRF令牌不一定叫csrftoken，可能是XSRF-TOKEN、__RequestVerificationToken这类自定义名称，甚至可能藏在页面的隐藏表单字段里（比如<input type="hidden" name="auth_token" value="xxx">）。
• 对齐JMeter与浏览器的请求行为：
  • 确保添加HTTP Cookie管理器，不要勾选“Clear cookies each iteration?”，保证会话Cookie能正常传递。
  • 给所有请求添加和浏览器一致的User-Agent请求头，很多网站会通过这个判断客户端合法性。
  • 检查是否需要添加Referer头，部分网站会验证请求来源，要设置成对应页面的URL。
• 处理JS生成的验证参数：如果提示“需要启用JavaScript”，说明网站可能通过JS生成或获取验证信息：
  • 找到生成令牌的JS逻辑，用JMeter的JSR223 PreProcessor模拟该逻辑生成参数，再关联到后续请求。
  • 检查是否有JS发起的隐藏接口请求（比如获取验证令牌的接口），录制时要确保捕获到这类请求，提取参数后关联使用。
• 检查关联完整性：除了CSRF相关参数，还要确认会话ID、请求标识等其他动态参数是否都完成了关联，避免遗漏导致未授权。

内容的提问来源于stack exchange，提问作者pawan