Spring Security应用通过JMeter登录失败，始终返回登录页面

我帮你梳理下几个最可能导致这个问题的原因，以及对应的解决办法，都是Spring Security + JMeter场景下常见的坑：

1. 未正确处理CSRF令牌 #

Spring Security默认开启了CSRF保护机制，登录的POST请求必须携带页面生成的CSRF令牌，否则会被服务器拒绝并直接重定向回登录页。很多时候JMeter录制的脚本会漏掉这个令牌的提取和传递逻辑。

• 解决步骤：
  • 在登录的POST请求前，添加一个HTTP请求，专门以GET方法访问登录页面
  • 给这个GET请求添加一个正则表达式提取器，从返回的HTML中抓取CSRF令牌。比如正则表达式可以写：name="_csrf" value="([a-f0-9-]+)"，模板用$1$，引用名称设为csrfToken
  • 回到登录的POST请求，在参数列表里添加_csrf，值填写${csrfToken}，实现动态传递令牌

2. 会话Cookie未被正确维护 #

Spring Security依赖会话Cookie来识别已登录用户，如果JMeter没自动保存和发送这些Cookie，服务器会判定你为未授权用户，直接返回登录页。

• 解决步骤：
  • 在测试计划最顶层添加一个HTTP Cookie管理器，确保它在所有请求的前面。这个组件会自动保存服务器返回的Cookie，并在后续请求中自动带上，无需手动处理
  • 检查Cookie管理器的设置，不要勾选“禁用Cookie”选项，保持默认配置即可

3. 登录请求参数不匹配 #

有时候录制的脚本里，参数名或值和实际前端提交的不一致——比如密码是前端加密后才发送的，你直接传明文肯定不行；或者参数名拼写错误（比如把username写成userName）。

• 解决步骤：
  • 打开浏览器开发者工具（按F12），切换到网络标签，实际登录一次，找到登录的POST请求并查看它的Form Data
  • 将JMeter里的登录请求参数和浏览器里的一一对比，确保所有必填参数（用户名、密码、CSRF令牌等）的名称和格式完全一致
  • 如果密码是前端加密的，需要在JMeter里模拟相同的加密逻辑：可以用JSR223 PreProcessor，编写一段代码（Java或Groovy均可）来加密明文密码，再把加密后的值作为参数传递

4. 关键请求头缺失 #

Spring Security可能会校验请求头信息，比如Content-Type、Referer或者User-Agent，如果这些头缺失，服务器可能会拒绝请求并重定向回登录页。

• 解决步骤：
  • 给登录的POST请求添加一个HTTP信息头管理器
  • 至少要添加Content-Type: application/x-www-form-urlencoded（表单提交场景下）；也可以把浏览器里的User-Agent、Referer等头信息复制过来，让JMeter的请求和浏览器行为保持一致

5. 用户权限或跳转配置问题 #

如果登录成功后访问的页面需要特定角色，但测试用户没有对应权限，服务器会重定向回登录页；或者Spring Security的登录成功跳转路径配置有误，导致看似未登录成功。

• 解决步骤：
  • 先在浏览器用测试账号登录，确认该账号拥有访问目标页面的权限
  • 检查Spring Security的配置类，确保defaultSuccessUrl或successForwardUrl设置的是正确路径，没有被错误的权限拦截规则阻挡

内容的提问来源于stack exchange，提问作者theNoobProgrammer