如何为OAuth2 OpenID Connect网站配置JMeter负载测试

一、State和Nonce的参数化处理 #

OpenID Connect里的state和nonce是客户端生成的随机值，不需要从响应提取，直接在JMeter中生成即可：

• 生成Nonce：使用__randomString()函数生成固定长度的随机字符串，例如 ${__randomString(32,abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789,)}，将结果存入nonce变量。
• 生成State：用__UUID()函数生成唯一标识符，或者同样用__randomString()生成，将结果存入state变量。
• 在跳转至身份提供商的请求中，把URL参数里的静态state、nonce值替换为对应的变量，比如state=${state}、nonce=${nonce}。

二、动态值提取（授权码、令牌等） #

录制后需要提取后续流程依赖的动态参数：

• 授权码（code）提取：身份提供商回调网站时，回调URL会携带code参数，添加正则表达式提取器，正则式写code=([^&]+)，模板设为$1$，匹配数字填1，结果存入code变量。
• ID Token/Access Token提取：调用token endpoint获取令牌时，响应为JSON格式，添加JSON提取器，比如提取access_token就写JSON Path表达式$.access_token，结果存入access_token变量。
• Cookie参数化：JMeter的HTTP Cookie管理器会自动管理大部分Cookie，若需手动提取特定Cookie，用正则表达式提取器从响应头的Set-Cookie字段提取，比如CookieName=([^;]+)，存入变量后在请求头的Cookie字段中引用。

三、动态请求头的参数化 #

录制的请求头中可能存在X-CSRF-Token这类动态值：

• 先定位生成该值的请求（比如登录页响应中包含CSRF Token），用正则表达式提取器或CSS Selector提取器从响应体或响应头提取，存入变量。
• 在后续请求的请求头中，将静态值替换为对应变量，比如X-CSRF-Token: ${csrf_token}。

四、录制脚本的优化步骤 #

1. 删除录制时产生的无关请求（如CSS、JS、图片等静态资源），只保留认证流程的核心请求。
2. 给每个请求添加断言，比如检查响应码是否为200，或响应中是否包含预期字符串，确保流程执行正常。
3. 用用户定义的变量组件统一管理生成的变量，便于后续维护修改。
4. 开启查看结果树和聚合报告组件，调试时查看每个请求的参数和响应，验证参数化是否生效。

五、JMeter场景参考方法 #

无需依赖外部网站，利用JMeter内置功能即可覆盖大部分场景：

• 打开「选项->函数助手对话框」，里面有所有内置函数的用法说明，比如生成随机字符串、UUID、时间戳等。
• 重点研读官方文档中HTTP请求、提取器、Cookie管理器、函数等核心模块的说明，足够支撑这类认证流程的配置。
• 可以从简单流程入手，先完成单个动态参数的替换，再逐步扩展到整个认证流程，逐步熟悉参数化逻辑。

内容的提问来源于stack exchange，提问作者P.J. Melies