如何使用JMeter录制基于OCSP的应用程序？

• 配置JMeter代理捕获HTTPS流量
  启动JMeter后，把「HTTP(S) Test Script Recorder」加到工作台，设置代理端口（比如8888），指定录制脚本要保存的线程组。然后把JMeter生成的临时根证书（bin目录下的ApacheJMeterTemporaryRootCA.crt）安装到浏览器或被测应用的信任存储里，不然HTTPS流量抓不到。

• 开启JVM层面的OCSP检查
  编辑JMeter的启动脚本（jmeter.bat或jmeter.sh），加上这串JVM参数：
  java -Dcom.sun.net.ssl.checkRevocation=true -Djava.security.debug=ocsp -jar ApacheJMeter.jar
  其中com.sun.net.ssl.checkRevocation=true是强制开启证书吊销检查，java.security.debug=ocsp能输出OCSP相关的调试日志，方便排查问题。

• 优化JMeter的SSL配置
  在「HTTP Request Defaults」或者单个「HTTP Request」里，把「Implementation」改成HttpClient4——这个实现对SSL细节的支持比默认的Java实现更好。如果应用用了自定义CA证书，得把证书导入JMeter的信任存储：要么用keytool命令导入到JMeter自带JRE的jre/lib/security/cacerts，要么在JMeter的「SSL Manager」里直接加载。

• 录制时的关键注意点
  先确认JMeter能访问到应用对应的OCSP服务器，防火墙或网络策略别拦着。录制过程中盯着jmeter.log看，如果出现OCSP连接失败、证书状态异常这类错误，立刻排查网络或证书配置。录完回放时，别删OCSP相关的请求头，比如OCSP Stapling的头信息，保证回放和真实请求行为一致。

• 调试验证方法
  用「View Results Tree」看录制的请求，确认OCSP交互有没有被正确捕获——OCSP请求一般是发给OCSP服务器的POST请求，路径通常是/ocsp之类的。要是没抓到，先检查代理端口是否正确，或者看看应用是不是用了OCSP Stapling（这种情况OCSP响应会包含在HTTPS握手的Server Hello里，不会单独发请求）。

内容的提问来源于stack exchange，提问作者Srinivaso