JMeter构建Spring Security网站登录脚本失败求助

• 处理动态CSRF令牌：Spring Security默认开启CSRF保护，登录请求必须携带有效且最新的_csrf参数。录制脚本时捕获的令牌仅对当时请求有效，需动态提取：

  1. 在登录页面的HTTP请求后添加正则表达式提取器
  2. 引用名称设为csrfToken
  3. 正则表达式填写<input type="hidden" name="_csrf" value="([^"]+)" />
  4. 模板用$1$，匹配数字设为1
  5. 登录请求的表单参数中，将_csrf的值替换为${csrfToken}

• 核对请求头完整性：Spring Security可能校验Content-Type、User-Agent、Referer等请求头，需确保JMeter请求与浏览器实际发送的完全一致：

  • 用浏览器F12抓包，对比JMeter请求的Headers，补全缺失字段（比如Content-Type: application/x-www-form-urlencoded）
  • 不要依赖录制的默认头，手动逐一核对每个字段

• 替换Beanshell压缩处理为JMeter内置配置：JMeter原生支持gzip压缩，无需额外脚本。直接在HTTP请求的「高级」标签下，勾选「Accept-Encoding」并填入gzip, deflate，同时确保勾选「Use KeepAlive」

• 校验会话状态一致性：确认Cookie管理器选择「全局Cookie管理器」，且录制与运行时的域名、路径完全匹配。可暂时禁用缓存管理器，避免旧缓存数据干扰会话验证

• 查看服务器日志定位根因：开启Spring Security的DEBUG级别日志，日志会明确提示验证失败原因——是CSRF令牌无效、参数错误、会话过期还是请求头不合法，这是最直接的排查方式

• Postman模拟对比测试：复制JMeter的请求参数和头到Postman发送，若Postman成功则说明JMeter存在配置遗漏；若Postman也失败，则问题出在参数或令牌获取逻辑上

内容的提问来源于stack exchange，提问作者Gatsby