JMeter HTTP Authorization Manager异常：错误密码测试仍显示执行成功

以下是导致你遇到的现象的常见原因及对应解决办法：

• HTTP Authorization Manager 并非当前登录方式的正确配置项
  多数网站/软件的登录是通过表单POST请求传递用户名密码参数，而非HTTP基础认证或摘要认证。这种情况下，HTTP Authorization Manager不会对登录请求产生任何影响——你手动添加的错误密码根本没被用到，测试执行时实际用的是录制时的正确参数，或者网站根本不校验这个认证头。
  解决：打开结果树里的登录请求，查看「参数」标签页，找到username、password这类字段，直接修改这些参数的值为错误密码，再重新运行测试。

• 残留的有效会话数据绕过了校验
  录制流程时你用正确密码完成过登录，Blazemeter会把登录后的会话Cookie（比如JSESSIONID、auth_token）记录到HTTP Cookie管理器中。后续即使你修改了密码，请求带着这个有效Cookie依然能通过身份验证。
  解决：

  • 清空HTTP Cookie管理器中的所有Cookie，或者删除原有管理器后重新添加一个空白的。
  • 测试前先添加一个访问网站首页的HTTP请求，重置会话状态，避免残留数据干扰。

• 网站后端校验逻辑存在问题
  如果是开发环境的测试站点，可能存在后端未正确实现密码校验的情况——比如只要请求格式正确就返回成功，或者使用了mock接口不做实际校验。
  解决：

  • 先在浏览器中手动输入错误密码登录，确认网站本身是否会拒绝错误凭据。
  • 对比浏览器和JMeter的请求详情：用浏览器F12开发者工具查看登录请求的请求方法、URL、参数、请求头、Cookie，确保JMeter中的请求和浏览器完全一致。

• HTTP Authorization Manager 配置不生效
  你手动添加的URL模式可能未覆盖登录请求的实际URL，或者认证类型选择错误，导致管理器没有为登录请求添加认证头。
  解决：

  • 将Authorization Manager的「URL模式」改为*，匹配所有URL，再测试是否生效。
  • 查看浏览器登录请求的Headers中是否有Authorization字段，根据字段值判断认证类型（Basic/Digest），对应设置Authorization Manager的认证类型。

内容的提问来源于stack exchange，提问作者sakib rahman